Bekræftet udnyttelse af PHP2Shell har nu ført til fjernudførelse af kode i virkelige angreb, ifølge nyligt offentliggjorte beviser fra et honeypot-system. Resultaterne markerer et skift fra tidligere scanninger og mislykkede forsøg til et vellykket angreb.
De to sårbarheder, registreret som CVE-2026-109618 og CVE-2026-109619, fik nødopdateringer den 21. oktober. Forskere har dog nu dokumenteret et vellykket angreb mod en Apache mod_php-installation, der kører PHP 8.4.26.
Honeypot-beviser bekræfter udnyttelse af PHP2Shell
Adel Karimi, leder af detektion og respons hos Perplexity, registrerede den ondsindede aktivitet gennem et honeypot-system. Hans analyse forbandt en vellykket hukommelseslækage med en efterfølgende anmodning om kodeeksekvering.
Serveren returnerede cirka 800 KiB afkodede cookiedata. Ifølge Karimi brugte angriberen derefter oplysninger fra svaret til at konstruere nyttelasten til kodeeksekvering.
Mere specifikt optrådte en funktionsadresse beregnet ud fra de lækkede data i den senere anmodning. Denne forbindelse gav stærkere beviser end et servernedbrud eller en uventet proces alene.
Den registrerede trafik viste også, at klienten bekræftede modtagelsen af hele svaret. Omkring 1,6 millisekunder efter den sidste registrerede byte i eksekveringsanmodningen blev shellkommandoen udført.
Marcus Hutchins, trusselsforsker hos Expel, gennemgik resultaterne og beskrev dem som en stærk bekræftelse på vellykket udnyttelse.
Tidligere angreb kunne ikke påvise kompromittering
Før disse resultater havde sikkerhedsvirksomheder observeret forsøg på at udnytte PHP2Shell uden at kunne bekræfte vellykkede kompromitteringer.
Cloudflare, Hadrian, watchTowr, Previdian og Patchstack opdagede ondsindet aktivitet før den offentlige afsløring. De vurderede dog de observerede forsøg som mislykkede.
Samtidig identificerede Amazon Threat Intelligence angreb rettet mod sårbarhederne fire dage før nødopdateringerne blev tilgængelige.
Dataminrs trusselsforskningsteam beskrev tidligere aktiviteten som scanning, identifikation af systemegenskaber og forsøg med ikke-fungerende exploits. På det tidspunkt havde forskerne ikke fastslået nogen kendte kompromitteringer.
De nye honeypot-beviser ændrer denne vurdering ved at demonstrere et fungerende angreb mod en bestemt serverkonfiguration. De fastslår dog ikke, hvor mange produktionssystemer angriberne kan have kompromitteret.
Nødopdateringer fulgte efter en tidlig informationslækage
PHP’s sikkerhedsteam udsendte rettelser til begge PHP2Shell-sårbarheder den 21. oktober. Dagen før opfordrede teamet administratorer til at forberede øjeblikkelige opdateringer.
Detaljer cirkulerede på nettet, før opdateringerne blev tilgængelige. Disse omfattede sårbarhedsidentifikatorer og vejledning om afhjælpende foranstaltninger, som visse leverandører af kritisk infrastruktur havde modtaget.
Flere proof-of-concept-exploits dukkede også op i denne periode. PHP’s sikkerhedsteam oplyste dog, at disse tidlige eksempler ikke virkede.
Administratorer bør derfor skelne mellem de mislykkede tidlige forsøg og den nyligt bekræftede udnyttelse. De seneste beviser øger behovet for hurtigt at installere sikkerhedsopdateringerne til PHP2Shell.
Separat PHP-sårbarhed kræver en midlertidig foranstaltning
Ud over PHP2Shell offentliggjorde PHP’s sikkerhedsteam den 23. oktober vejledning om afhjælpende foranstaltninger for en anden sårbarhed, der muliggør fjernudførelse af kode, CVE-2026-115560.
Ifølge rapporten var denne separate sårbarhed stadig ikke rettet pr. 26. oktober. Udnyttelse kræver en usædvanlig kombination af serverkonfiguration og applikationskode.
Indtil en rettelse bliver tilgængelig, anbefaler PHP-udviklerne, at administratorer deaktiverer overvågning af uploadfremskridt i sessioner gennem denne indstilling:
session.upload_progress.enabled=0
Teamet havde også anbefalet denne foranstaltning, før PHP2Shell-opdateringerne blev udsendt. Administratorer bør dog installere de tilgængelige sikkerhedsopdateringer til de to oprindelige sårbarheder i stedet for udelukkende at stole på midlertidige foranstaltninger.
PHP’s omfattende udbredelse øger risikoen
PHP driver en betydelig andel af hjemmesider, hvilket gør sårbarheder i sproget relevante på tværs af en bred vifte af hostingmiljøer.
Nylige estimater fra VirusTotal identificerede mere end 5,1 millioner PHP-værter eksponeret mod internettet. Af disse havde cirka 3,8 millioner mindst én åben port, som potentielt var tilgængelig for angribere.
Tallene beskriver eksponering snarere end bekræftet sårbarhed eller kompromittering. Ikke desto mindre viser den vellykkede udnyttelse af PHP2Shell, hvorfor administratorer hurtigt bør gennemgå deres installationer og installere de tilgængelige rettelser.
0 svar til “Udnyttelse af PHP2Shell bekræftet i igangværende angreb”