Bekreftet utnyttelse av PHP2Shell har nå ført til ekstern kjøring av kode i reelle angrep, ifølge nylig publiserte bevis fra et honeypot-system. Funnene markerer en overgang fra tidligere skanning og mislykkede forsøk til et vellykket angrep.
De to sårbarhetene, registrert som CVE-2026-109618 og CVE-2026-109619, fikk nødoppdateringer 21. oktober. Forskere har imidlertid nå dokumentert et vellykket angrep mot en Apache mod_php-installasjon som kjører PHP 8.4.26.
Honeypot-bevis bekrefter utnyttelse av PHP2Shell
Adel Karimi, leder for deteksjon og respons hos Perplexity, fanget opp den ondsinnede aktiviteten gjennom et honeypot-system. Analysen hans knyttet en vellykket minnelekkasje til en påfølgende forespørsel om kodekjøring.
Serveren returnerte omtrent 800 KiB dekodede informasjonskapseldata. Ifølge Karimi brukte angriperen deretter informasjon fra svaret til å konstruere nyttelasten for kodekjøring.
Mer spesifikt dukket en funksjonsadresse beregnet fra de lekkede dataene opp i den senere forespørselen. Denne forbindelsen ga sterkere bevis enn en serverkrasj eller en uventet prosess alene.
Den registrerte trafikken viste også at klienten bekreftet mottak av hele svaret. Omtrent 1,6 millisekunder etter den siste registrerte byten i forespørselen om kodekjøring ble shell-kommandoen kjørt.
Marcus Hutchins, trusselforsker hos Expel, gjennomgikk funnene og beskrev dem som en sterk bekreftelse på vellykket utnyttelse.
Tidligere angrep kunne ikke påvise kompromittering
Før disse funnene hadde sikkerhetsselskaper observert forsøk på å utnytte PHP2Shell uten å kunne bekrefte vellykkede kompromitteringer.
Cloudflare, Hadrian, watchTowr, Previdian og Patchstack oppdaget ondsinnet aktivitet før den offentlige avsløringen. De vurderte imidlertid forsøkene de observerte som mislykkede.
Samtidig identifiserte Amazon Threat Intelligence angrep rettet mot sårbarhetene fire dager før nødoppdateringene ble tilgjengelige.
Dataminrs trusselforskningsteam beskrev tidligere aktiviteten som skanning, identifisering av systemegenskaper og forsøk med ikke-fungerende utnyttelseskode. På det tidspunktet hadde forskerne ikke fastslått noen kjente kompromitteringer.
De nye honeypot-bevisene endrer denne vurderingen ved å demonstrere et fungerende angrep mot en bestemt serverkonfigurasjon. De fastslår imidlertid ikke hvor mange produksjonssystemer angriperne kan ha kompromittert.
Nødoppdateringer fulgte etter en tidlig informasjonslekkasje
PHPs sikkerhetsteam ga ut rettelser for begge PHP2Shell-sårbarhetene 21. oktober. Dagen før oppfordret teamet administratorer til å forberede umiddelbare oppdateringer.
Detaljer sirkulerte på nettet før oppdateringene ble tilgjengelige. Disse omfattet sårbarhetsidentifikatorer og veiledning om risikoreduserende tiltak som enkelte leverandører av kritisk infrastruktur hadde mottatt.
Flere proof-of-concept-utnyttelser dukket også opp i denne perioden. PHPs sikkerhetsteam opplyste imidlertid at disse tidlige eksemplene ikke fungerte.
Administratorer bør derfor skille mellom de mislykkede tidlige forsøkene og den nylig bekreftede utnyttelsen. De siste bevisene øker behovet for raskt å installere sikkerhetsoppdateringene for PHP2Shell.
Separat PHP-sårbarhet krever et midlertidig tiltak
I tillegg til PHP2Shell publiserte PHPs sikkerhetsteam 23. oktober veiledning om risikoreduserende tiltak for en annen sårbarhet som muliggjør ekstern kodekjøring, CVE-2026-115560.
Ifølge rapporten var denne separate sårbarheten fortsatt ikke rettet per 26. oktober. Utnyttelse krever en uvanlig kombinasjon av serverkonfigurasjon og applikasjonskode.
Inntil en rettelse blir tilgjengelig, anbefaler PHP-utviklerne at administratorer deaktiverer fremdriftsovervåking for filopplasting i økter gjennom denne innstillingen:
session.upload_progress.enabled=0
Teamet hadde også anbefalt dette tiltaket før PHP2Shell-oppdateringene ble utgitt. Administratorer bør imidlertid installere de tilgjengelige sikkerhetsoppdateringene for de to opprinnelige sårbarhetene i stedet for å stole utelukkende på midlertidige tiltak.
PHPs omfattende utbredelse øker risikoen
PHP driver en betydelig andel av nettsteder, noe som gjør sårbarheter i språket relevante for et bredt spekter av hostingmiljøer.
Nylige estimater fra VirusTotal identifiserte mer enn 5,1 millioner PHP-verter eksponert mot internett. Av disse hadde omtrent 3,8 millioner minst én åpen port som potensielt var tilgjengelig for angripere.
Tallene beskriver eksponering, ikke bekreftet sårbarhet eller kompromittering. Likevel viser den vellykkede utnyttelsen av PHP2Shell hvorfor administratorer raskt bør gjennomgå installasjonene sine og installere tilgjengelige rettelser.
0 responses to “Utnyttelse av PHP2Shell bekreftet i pågående angrep”