VulnCheck מפתחת ניצול PHP2Shell שעוקף ASLR במערכות ייצור

חוקרי אבטחה ב-VulnCheck פיתחו ניצול לפגיעות PHP2Shell שעוקף את Address Space Layout Randomization (ASLR) בשרתי x86-64 שמריצים את תצורת הייצור המומלצת של PHP. הניצול מכוון ל-CVE-2026-109618, באג קריטי של השחתת זיכרון שמקורו באזילת זיכרון ומוביל להרצת קוד מרחוק ב-PHP, והוא חלק מצמד PHP2Shell לצד CVE-2026-109619.

פרטים טכניים של הניצול

קרן PHP חשפה רשמית והפיצה תיקונים לשתי הפגיעות ב-21 באוקטובר 2026. חוקרי VulnCheck פיתחו את הניצול שלהם בן לילה, והשיגו את מה שלדעתם הוא הרצת הקוד מרחוק הראשונה הידועה במערכות x86-64 עם ASLR מופעל, עם PHP 8.4.26 וההגדרה המומלצת display_errors=off לייצור. הטכניקה משתמשת בדליפת זיכרון מאומתת שמשורשרת להרצת קוד מרחוק. הניצול פועל גם בפלטפורמות ARM64, אך רכיב הרצת הקוד מרחוק אינו פעיל כרגע במערכות מבוססות ARM.

ASLR הוא הגנה מובנית מפני באגי השחתת זיכרון שמסדרת באקראי את מיקומי הזיכרון של אזורי הנתונים המרכזיים של תוכנית בכל הפעלה. הדבר מונע מתוקפים לנחש נכון את כתובות הזיכרון היעד הדרושות להרצת קוד זדוני. עד כה, ASLR היה מחסום מרכזי לניצול PHP2Shell בשרתים בעולם האמיתי. ספנסר מקינטייר, מנהל פיתוח ניצולים ב-VulnCheck, ציין שפיתוח יכולת זו היה רחוק מלהיות טריוויאלי, אך הוא מדגים שניתן להתגבר על מחסום מרכזי לניצול PHP2Shell במערכות המוגדרות לייצור.

השלכות על ארגונים

מקינטייר הזהיר שארגונים המפעילים גרסאות פגיעות של PHP צריכים לתת עדיפות לתיקון במקום להניח שהגנות זיכרון קיימות או שינויי תצורה יעצרו מתקפה. הוא הדגיש שאין לבלבל בין הקושי הטכני של ניצול פגיעות לבין הגנה מפניה, במיוחד בעידן שבו AI משמש לציד באגים ולפיתוח ניצולים. VulnCheck העמידה את הניצול לרשות לקוחות Initial Access Intelligence בלבד.

פיתוח איומים בסיוע AI

VulnCheck הזהירה גם שתוקפים משתמשים ב-AI כדי למצוא דרכים נוספות לתקוף את פגיעויות PHP2Shell. מקינטייר ציין שהיריבים בבירור משקיעים זמן ומשאבים חישוביים בבאג הזה. החברה הבחינה במאות מאגרי proof-of-concept של PHP2Shell ב-GitHub, אך רק מעטים מהם מכילים ניצולים עובדים אמיתיים, בעיקר בגלל ASLR. המצב החמיר עם דיווחים על תוקפים שניצלו את הפגמים ימים לפני שנחשפו, ועם אתרי ממשלת בריטניה שירדו מהאוויר באופן יזום בתגובה לאיום.

סיקור מוקדם: התיקונים של PHP2Shell פורסמו: מה בסיכון וכיצד להגן על אתרי PHP · האקרים ניצלו פגיעויות PHP ימים לפני שחרור התיקונים

מקורות: The Register