VulnCheck розробив експлойт PHP2Shell, що обходить ASLR на продакшн-системах

Дослідники безпеки з VulnCheck розробили експлойт для вразливості PHP2Shell, який обходить рандомізацію розташування адресного простору (ASLR) на серверах x86-64 із рекомендованою продакшн-конфігурацією PHP. Експлойт націлений на CVE-2026-109618, критичну помилку пошкодження пам'яті, що призводить до віддаленого виконання коду в PHP і разом із CVE-2026-109619 становить пару PHP2Shell.

Технічні деталі експлойту

PHP Foundation офіційно розкрила обидві вразливості та випустила виправлення 21 жовтня 2026 року. Дослідники VulnCheck розробили експлойт за одну ніч і, за їхніми словами, першими досягли віддаленого виконання коду на системах x86-64 з увімкненим ASLR, що працюють на PHP 8.4.26 із рекомендованим для продакшну параметром display_errors=off. Техніка спирається на підтверджений витік пам'яті, який ланцюжком веде до віддаленого виконання коду. Експлойт працює і на платформах ARM64, але компонент віддаленого виконання коду на системах на базі ARM поки не функціонує.

ASLR є вбудованим захистом від помилок пошкодження пам'яті: щоразу під час запуску програми він випадково розміщує в пам'яті її ключові області даних. Через це атакувальник не може вгадати цільову адресу, потрібну для виконання шкідливого коду. Досі ASLR був серйозною перешкодою для експлуатації PHP2Shell на реальних серверах. Спенсер Макінтайр, директор з розробки експлойтів у VulnCheck, зазначив, що створити таку можливість було аж ніяк не просто, але вона доводить, що головну перешкоду для експлуатації PHP2Shell на продакшн-системах можна подолати.

Наслідки для організацій

Макінтайр попередив, що організаціям, які використовують уразливі версії PHP, слід насамперед встановлювати виправлення, а не сподіватися, що наявний захист пам'яті чи зміни конфігурації зупинять атаку. Він наголосив, що технічну складність експлуатації вразливості не можна плутати із захистом від неї, особливо тепер, коли пошук помилок і розробку експлойтів веде штучний інтелект. VulnCheck надала експлойт лише клієнтам Initial Access Intelligence.

Розробка загроз за допомогою AI

VulnCheck також попередила, що зловмисники використовують AI, аби знайти нові способи атаки на вразливості PHP2Shell. Макінтайр зазначив, що супротивники явно витрачають час і обчислювальні ресурси на цю помилку. Компанія бачила на GitHub сотні репозиторіїв з proof-of-concept для PHP2Shell, але справжніх робочих експлойтів серед них дуже мало, і головною причиною цього є ASLR. Ситуація загострилася після повідомлень про те, що зловмисники використовували ці вразливості за кілька днів до їх розкриття, а урядові сайти Великої Британії превентивно припинили роботу.

Раніше ми писали: Виправлення PHP2Shell вийшли: що під загрозою та як захистити PHP-сайти · Хакери експлуатували вразливості PHP за дні до випуску виправлень

Джерела: The Register