A PHP2Shell néven összefoglalt két kritikus, távolról kódfuttatást lehetővé tevő (RCE) sérülékenységet élő támadásban is sikeresen kihasználták - ez az első megerősített eset. A támadást Adel Karimi, a Perplexity észlelési és reagálási vezetőjének honeypot-rendszere rögzítette, amely egy Apache mod_php kiszolgálót futtatott PHP 8.4.26-os verzióval.
Mi történt pontosan
Karimi szerint már nem csak összeomlás és gyanús folyamat látható: a támadás használható memória-kiszivárogtatással járt, a válasz egy 800 KiB-os, dekódolt cookie-listát tartalmazott, a belőle kiszámolt függvénycím pedig megjelent a későbbi, kódfuttatásra szolgáló exploitban. A shell-parancs a kérés utolsó rögzített bájtjának beérkezése után nagyjából 1,6 ezredmásodperccel futott le. Az eredményeket Marcus Hutchins, az Expel fenyegetéskutatója is megerősítette, aki szerint ez eddig a legjobb minőségű bizonyíték a PHP2Shell éles kihasználására.
Kiszivárgott részletek, sikertelen kísérletek
A PHP biztonsági csapata szerda, október 21-én adta ki a PHP2Shell-javításokat, egy nappal azután, hogy a rendszergazdákat felkészült frissítésre szólította fel. A hibák részletei és néhány koncepcióbizonyító (PoC) exploit még a foltok megjelenése előtt kiszivárgott, a csapat szerint azonban egyik sem volt működőképes. A Cloudflare, a Hadrian, a watchTowr, a Previdian és a Patchstack is észlelt kihasználási kísérleteket a nyilvános bejelentés előtt, de mindet sikertelennek jelölte; az Amazon fenyegetésfelderítői néggyel a javítások előtt figyelték meg a támadókat. A Dataminr TRACE csapata szerint a tevékenység eddig szkennelésre, ujjlenyomat-vételre és nem működő exploitokra korlátozódott, ismert kompromittálás nélkül.
Új sérülékenység, még folt nélkül
Pénteken a PHP csapat egy új, foltozatlan RCE-sérülékenységre (CVE-2026-115560) tett közzé mérséklési javaslatot: ez csak „szokatlan konfigurációs és alkalmazáskód-kombinációval" rendelkező rendszereken kihasználható. Amíg nincs javítás, a session.upload_progress.enabled=0 beállítás ajánlott - ezt már a PHP2Shell-foltok előtt is javasolták.
A PHP kiemelt célpont: a nyelv hajtja az internet weboldalainak mintegy 70 százalékát, és a VirusTotal becslése szerint több mint 5,1 millió PHP-gazdagép érhető el online, amelyek közül körülbelül 3,8 millión legalább egy port nyitva a támadások felé - a frissítés telepítése ezért különösen sürgető.
Forrás: BleepingComputer
Állítsd be, hogy a PC Pult cikkeit az elsők között lásd a Google keresőben