Злоумышленники эксплуатировали CVE-2026-109618 для запуска оболочки
Исследователи подтвердили эксплуатацию трёх honeypot-систем на PHP 8.4.26 в среде Apache mod_php с одним рабочим процессом. С 35 HTTP-запросами во время выполнения были сопоставлены процессы /bin/sh, запущенные родительским процессом Apache и работавшие с UID 33. Активность затронула T1, T2 и T3 и поступала из двух кластеров исходных адресов: 15.204.59.70 и 162.35.99.94. Эти кластеры описывают инфраструктуру, но не доказывают, что за ней стояли два разных злоумышленника.
Атака использовала четырёхэтапную многочастную HTTP-цепочку, связанную с уязвимостью раскрытия информации о сессии и прогрессе загрузки PHP CVE-2026-109618. Сначала злоумышленники исчерпывали память, затем раскрывали сведения о памяти с помощью заголовка PHPSESSID сверх допустимого размера, создавали дополнительную нагрузку на память и отправляли запрос на выполнение, адаптированный к целевой системе. Тела первых трёх декодированных запросов побайтово совпадали во всех успешных цепочках из обоих кластеров и на всех трёх целях. Тело последнего запроса размером 451 384 байта различалось в зависимости от адресов, полученных при утечке, и команды оболочки. Такое поведение согласуется с корректировкой ASLR на основе данных утечки и с публично задокументированным семейством эксплойтов, использующих только HTTP. Оно не указывает на новый примитив эксплуатации.
Apache зарегистрировал 52 файла cookie для раскрытия информации размером примерно 819 200 байт каждый. Они содержали повторяющиеся 64-битные значения, похожие на указатели. Захваты пакетов подтвердили 51 полный ответ с раскрытием информации. Утёкшие адреса различались между целевыми системами, а соответствующие значения в конечной полезной нагрузке сохраняли ожидаемое относительное смещение. Это подтверждает адаптацию к раскладке памяти каждой цели. Ошибки PHP возникали при инициализации запроса и содержали сообщение Unknown on line 0, что указывает на эксплуатацию самого движка PHP, а не конкретной CMS или приложения.
Телеметрия процессов Tetragon зафиксировала, что /usr/sbin/apache2 непосредственно запускал /bin/sh после завершения запросов B2. Это послужило решающим подтверждением выполнения. Наблюдаемые команды запускали id, PHP CLI, curl и wget; среди активности были обратные вызовы на контролируемые злоумышленниками порты и URL-адреса для подтверждения, содержавшие вывод команд id -un, hostname и uname -m. Позже несколько рабочих процессов аварийно завершились из-за ошибок сегментации.
Другие адреса генерировали трафик, характерный для эксплуатации уязвимостей, или вызывали ошибки PHP. Поскольку для этих попыток не зафиксировали файлы cookie для раскрытия информации и события запуска оболочки с родительским процессом Apache, они остались неподтверждёнными попытками, а не подтверждённым удалённым выполнением кода.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
