Rannsakandi staðfestir að PHP2Shell veikleikar séu nýttir í árásum

Árásaraðilar hafa nýtt sér PHP2Shell veikleikana til að keyra skipanir á blekkingarþjónum. Rannsakandinn sem uppgötvaði virknina lýsti því sem staðfestri fjarstýrðri kóðakeyrslu (RCE), sem er skrefi lengra en þær skannanir og hrun sem greint var frá áður. Fyrir þetta höfðu öryggisfyrirtæki skráð milljónir tilrauna til misnotkunar frá því að veikleikarnir urðu opinberir í síðustu viku, en enginn hafði staðfest að kóði hefði raunverulega keyrt, að sögn SecurityWeek.securityweek.com

Hunangspottar skrá 35 skeljar

Adel Karimi, rannsakandi hjá Perplexity, rekur hunangspotta sem hýsa venjulegar PHP-síður. Þeir nota PHP 8.4.26 undir Apache mod_php með einum vinnsluferli. Fyrsta skýrsla hans náði yfir rúmar 26 klukkustundir og skráði 30 minnisvillur og 11 hrun á vinnsluferlum, án kóðakeyrslu. Þann 24. október skráðu skynjarar hans hins vegar 35 skeljar á þremur hunangspottum. Ein IP-tala bjó til þrjár skeljar og önnur 32, samkvæmt SecurityWeek.securityweek.com

Árásaraðilar notuðu fjögurra þrepa keðju af HTTP-beiðnum. Fyrstu beiðnirnar tæmdu minni PHP, þær næstu leku innihaldi minnisins og þær síðustu keyrðu skeljarskipan. Umferðin passaði nákvæmlega við opinbera sýnikennslu á CVE-2026-109618 og enginn annars stigs hleðslukóði var sóttur. "Þetta er nú staðfest RCE með nothæfri minnisuppljóstrun, ekki bara hrun í kjölfar grunsamlegs ferlis," sagði Karimi. Hann bætti við að skeljarskipunin hafi keyrt um 1,6 millisekúndum eftir lokabeiðnina.bleepingcomputer.com+1

Karimi varaði við því að uppsetning hans væri "viljandi hagstæð" og mæli ekki hversu áreiðanleg misnotkunin sé á öðrum stillingum. Marcus Hutchins, rannsakandi hjá Expel, kallaði niðurstöðurnar "langbestu staðfestinguna á PHP2Shell misnotkun í raunheimum sem ég hef séð hingað til". Frá og með morgni 26. október hafði CISA ekki bætt veikleikunum við lista sinn yfir þekkta misnotaða veikleika.securityweek.com

Lagfært eftir leka

Báðir veikleikarnir eru metnir 9,2 samkvæmt CVSS 4.0 og leyfa óstaðfestum árásaraðilum að keyra kóða með því að spilla innra minni PHP þegar beiðnisvinnsla mistekst. PHP lagaði þá þann 21. október í útgáfum 8.5.12, 8.4.27, 8.3.36 og 8.2.35, samkvæmt Beazley Security. PHP flýtti útgáfunni um einn dag eftir að CVE-auðkennin láku á Hacker News. Amazon skráði tilraun til misnotkunar þann 17. október, fjórum dögum fyrir birtingu. Frá og með 23. október var enn talið að meira en 34,4 milljónir PHP-þjónusta væru berskjaldaðar.labs.beazley.security+3

"Svarti október" gervigreindarinnar

Rannsakendur hjá Wiz og Calif fundu veikleikana í ágúst með því að nota gervigreindarlíkön frá OpenAI og Google, að sögn CNBC. Bylgja galla sem fundust með gervigreind hefur verið kölluð "Svarti október" og sum samtök tóku vefsíður sínar niður á meðan þau lögðu þá. Fjárfestar veðjuðu á að atvikið myndi auka útgjöld til öryggismála. Hlutabréf í Okta ↘ 0.36%, Palo Alto Networks ↘ 3.53% og CrowdStrike ↘ 2.07% hækkuðu í síðustu viku, samkvæmt Zacks í gegnum The Globe and Mail. Samt sem áður hefur Arctic Wolf greint frá "tiltölulega litlum vísbendingum um áreiðanlega misnotkun í stórum stíl".theglobeandmail.com+3