Forsker bekrefter at PHP2Shell-sårbarheter utnyttes aktivt

Angripere har brukt PHP2Shell-sårbarhetene til å kjøre skallkommandoer på lokkeservere. Forskeren som avdekket aktiviteten beskrev det som bekreftet fjernkjøring av kode (RCE), et steg videre fra skanningene og krasjene som ble rapportert tidligere. Før dette hadde sikkerhetsselskaper registrert millioner av utnyttelsesforsøk siden feilene ble offentliggjort forrige uke, men ingen hadde bekreftet at kode faktisk ble kjørt, rapporterte SecurityWeek.securityweek.com

Honeypots registrerer 35 skall

Adel Karimi, en forsker hos Perplexity, driver honeypots som serverer vanlige PHP-baserte sider. De bruker PHP 8.4.26 under Apache mod_php med én enkelt worker. Hans første rapport dekket i overkant av 26 timer og logget 30 minnefeil og 11 krasjer, uten kodekjøring. Den 24. oktober registrerte sensorene hans imidlertid 35 skall på tvers av tre honeypots. Én IP-adresse produserte tre skall og en annen genererte 32, ifølge SecurityWeek.securityweek.com

Angriperne brukte en firetrinns kjede av HTTP-forespørsler. De første forespørslene tømte PHPs minne, de neste lakk minneinnhold, og den siste kjørte en skallkommando. Trafikken samsvarte tett med en offentlig tilgjengelig proof-of-concept for CVE-2026-109618, og ingen sekundær nyttelast ble lastet ned. "Dette er nå bekreftet RCE med brukbar minneavsløring, ikke bare et krasj etterfulgt av en mistenkelig prosess," sa Karimi. Han la til at skallkommandoen kjørte omtrent 1,6 millisekunder etter den siste forespørselen.bleepingcomputer.com+1

Karimi advarte om at oppsettet hans var "bevisst gunstig" og ikke måler hvor pålitelig utnyttelsen er på andre konfigurasjoner. Expel-forsker Marcus Hutchins kalte funnene "den desidert høyeste kvaliteten på bekreftelse av PHP2Shell-utnyttelse i det fri jeg har sett så langt". Per morgenen 26. oktober hadde ikke CISA lagt feilene til sin katalog over kjente utnyttede sårbarheter.securityweek.com

Oppdatert etter lekkasje

Begge feilene er vurdert til 9,2 under CVSS 4.0 og tillater uautoriserte angripere å kjøre kode ved å korrumpere PHPs interne minne når forespørselshåndtering feiler. PHP rettet dem den 21. oktober i versjonene 8.5.12, 8.4.27, 8.3.36 og 8.2.35, ifølge Beazley Security. PHP fremskyndet utgivelsen med én dag etter at CVE-identifikatorene lekket på Hacker News. Amazon registrerte et utnyttelsesforsøk den 17. oktober, fire dager før offentliggjøring. Per 23. oktober ble mer enn 34,4 millioner PHP-tjenester fortsatt vurdert som sårbare.labs.beazley.security+3

AI sin "Svarte oktober"

Forskere hos Wiz og Calif fant feilene i august ved hjelp av AI-modeller fra OpenAI og Google, rapporterte CNBC. Bølgen av AI-oppdagede feil har blitt kalt "Svarte oktober", og enkelte organisasjoner tok nettsidene sine offline mens de oppdaterte. Investorer satset på at episoden ville øke pengebruken på sikkerhet. Aksjer i Okta ↗ 2.75%, Palo Alto Networks ↗ 2.88% og CrowdStrike ↗ 2.36% steg forrige uke, ifølge Zacks via The Globe and Mail. Likevel har Arctic Wolf rapportert om "forholdsvis lite bevis for pålitelig utnyttelse i stor skala".theglobeandmail.com+3