PHP2Shell-ის ექსპლოიტი დისტანციური კოდის შესრულებისგან დასაცავ მექანიზმებს გვერდს უვლის

მკვლევრის თქმით, „მოწინააღმდეგეები აშკარად დროსა და ტოკენებს ხარჯავენ ამ ხარვეზზე“.

მკვლევრებმა ახალი ექსპლოიტი შეიმუშავეს, რომელიც აჩვენებს, რომ x86-64 სერვერზე მისამართთა სივრცის განლაგების შემთხვევითი ცვლილებაც (ASLR) კი ვერ აჩერებს PHP2Shell-ის დაუცველობის გამოყენებას. VulnCheck-მა ექსპლოიტი მხოლოდ Initial Access Intelligence-ის მომხმარებლებს გაუზიარა და გააფრთხილა, რომ საფრთხის აქტორები ხელოვნურ ინტელექტს სულ უფრო მეტი თავდასხმის გზის მოსაძებნად იყენებენ.

გუნდმა გვითხრა, რომ ეს „მნიშვნელოვანი წინსვლაა“, რადგან აქამდე ASLR რეალურ სერვერებზე PHP2Shell-ის გამოყენების მთავარ ბარიერად მიიჩნეოდა. თუმცა მკვლევრები არ ელიან, რომ ეს ბარიერი დიდხანს შენარჩუნდება. VulnCheck-ის ექსპლოიტების შემუშავების დირექტორმა სპენსერ მაკინტაირმა The Register-ს განუცხადა: „მოწინააღმდეგეები აშკარად დროსა და ტოკენებს ხარჯავენ ამ ხარვეზზე“.

ხუთშაბათს PHP2Shell-ის პრობლემა კიდევ უფრო გამწვავდა. გავრცელდა ცნობები, რომ თავდამსხმელები უსაფრთხოების ხარვეზებს მათ გასაჯაროებამდე რამდენიმე დღით ადრე იყენებდნენ, ხოლო გაერთიანებული სამეფოს სამთავრობო ვებსაიტები პრევენციულად გაითიშა.

VulnCheck-ის ექსპლოიტი მიზანში იღებს CVE-2026-109618-ს, კრიტიკულ მეხსიერების დაზიანების ხარვეზს, რომელიც მეხსიერების გადავსებას იწვევს და PHP-ში დისტანციური კოდის შესრულების საშუალებას იძლევა. ეს ხარვეზი PHP2Shell-ის წყვილის ნაწილია, რომელშიც CVE-2026-109619-იც შედის. PHP Foundation-მა ორივე ხარვეზის შესახებ ოთხშაბათს ოფიციალურად განაცხადა და მათთვის შესწორებები გამოუშვა.

ღამით VulnCheck-ის მკვლევრებმა შეიმუშავეს ის, რაც, მათი აზრით, პირველი ცნობილი ექსპლოიტია ASLR-ით დაცულ x86-64 სისტემებზე დისტანციური კოდის შესასრულებლად, PHP-ის რეკომენდებული საწარმოო კონფიგურაციის პირობებში.

ASLR მეხსიერების დაზიანების ხარვეზებისგან, მათ შორის PHP2Shell-ისგან, დაცვის ჩაშენებული მექანიზმია. ის პროგრამის ძირითადი მონაცემების მეხსიერების მისამართებს შემთხვევითად ანაწილებს. ASLR ყოველ გაშვებაზე ამ კომპონენტების მისამართებს ცვლის და თავდამსხმელს სამიზნე მისამართის სწორად გამოცნობაში უშლის ხელს. შედეგად, მავნე კოდის შესრულებაც ფერხდება.

მაკინტაირის თქმით, VulnCheck-მა GitHub-ზე PHP2Shell-ის „ასობით“ კონცეფციის დამადასტურებელი კოდის საცავი ნახა, თუმცა „ძალიან ცოტა მათგანი შეიცავს ნამდვილ, მოქმედ ექსპლოიტს“. მისი თქმით, ამის მთავარი მიზეზი ASLR-ია.

მაკინტაირმა თქვა: „დიდი განსხვავებაა დაუცველობის დემონსტრირებასა და ისეთი ექსპლოიტის შექმნას შორის, რომელიც რეალურ გარემოში არსებულ დაცვის მექანიზმებს გადალახავს. ერთ-ერთი ყველაზე დიდი დაბრკოლება ASLR იყო, რომელიც მეხსიერების დაზიანების დაუცველობების გამოყენებას ბევრად ართულებს“.