Мониторинг не зафиксировал успешной сквозной эксплуатации PHP2Shell
После раскрытия уязвимостей PHP CVE-2026-109618 и CVE-2026-109619 21 октября 2026 года мониторинг выявил ограниченное число попыток эксплуатации. При этом телеметрия не подтвердила ни одного успешного сценария полной эксплуатации PHP2Shell. Публичный код пытается исчерпать память PHP, а затем раскрыть память процесса, чтобы получить адреса для следующих этапов.
Попытки эксплуатации и ограничения эксплойта
Исследователи обнаружили два варианта открытого эксплойт-кита. Старый вариант превышал настроенные ограничения размера запроса либо не вызывал необходимого исчерпания памяти. Новый вариант последовательно исчерпывал память PHP, но во всех зафиксированных попытках не справлялся со следующим этапом, раскрытием памяти.
В одном случае тело запроса превышало лимит post_max_size сервера, установленный на уровне 8 МБ. PHP не обрабатывал multipart-содержимое. В другом случае ожидаемая структура памяти эксплойта не соответствовала целевой системе. Набор разработали для конкретного образа Apache с PHP 8.4.26 и лимитом памяти 128 МБ, тогда как на медовой ловушке использовалась другая сборка, дополнительные расширения и лимит 64 МБ. Эти различия могут влиять на структуру кучи и повторное использование памяти.
Эксплойт также зависит от поведения рабочих процессов. Он пытается повторно использовать устаревшее состояние сессии, чтобы раскрыть адреса кучи и библиотек через cookie PHPSESSID.
Другие техники и изменение уровня экспозиции
Часть трафика, помеченного как PHP2Shell, использовала не связанные с ним техники. Один инструмент пытался отравить сессию с помощью механизма upload-progress в PHP, а затем рассчитывал на отдельную уязвимость локального включения файлов (LFI) и конкретную уязвимую конечную точку lfi_sink.php для выполнения кода. Без этой конечной точки или её эквивалента цепочка атаки не могла сработать.
После раскрытия уязвимостей количество доступных из интернета уязвимых машин сократилось примерно на 67%, а число затронутых организаций уменьшилось примерно на 47,9%. Также снизилась доля экспонированных уязвимых машин с PHP версии 7.3 или более ранней. По оценке исследователей, эти изменения согласуются с проведением мер по устранению уязвимости, но имеющиеся данные не позволяют определить, какие именно действия привели к снижению.
В отдельных публичных отчётах описывались трафик эксплуатации, раскрытие памяти и последующее выполнение кода на медовых ловушках с благоприятной конфигурацией Apache mod_php в режиме одного рабочего процесса. Эти наблюдения не подтверждают возможность надёжной эксплуатации в других средах развёртывания.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
