PHP2Shell اکسپلویت حفاظت هایی را که برای توقف اجرای کد از راه دور طراحی شده اند دور می زند

محققان یک اکسپلویت جدید ایجاد کرده‌اند که نشان می‌دهد چگونه حتی Address Space Layout Randomization (ASLR) در سرور x86-64 نمی‌تواند آسیب‌پذیری PHP2Shell را متوقف کند. VulnCheck که آن را فقط برای مشتریان Initial Access Intelligence در دسترس قرار داده بود، همچنین هشدار داد که عوامل تهدید از هوش مصنوعی برای یافتن راه‌های بیشتر برای حمله استفاده می‌کنند.

تیم به ما گفت که این یک "پیشرفت قابل توجه" است زیرا تا به حال، ASLR یک مانع بزرگ برای بهره برداری از PHP2Shell در سرورهای دنیای واقعی بوده است. با این حال، آنها انتظار ندارند که آن را حفظ کنند. اسپنسر مک اینتایر، مدیر توسعه اکسپلویت در VulnCheck، به The Register گفت: «دشمنان به وضوح زمان (و توکن‌ها) را روی این باگ صرف می‌کنند.

در بحبوحه گزارش‌هایی مبنی بر سوء استفاده مهاجمان از نقص‌های امنیتی چند روز قبل از افشای آن‌ها و تاریک شدن فعالانه وب‌سایت‌های دولتی بریتانیا، آشفتگی PHP2Shell در روز پنجشنبه بزرگ‌تر شد.

اکسپلویت Vulncheck CVE-2026-109618 را هدف قرار می دهد، یک باگ خرابی حیاتی و خارج از حافظه که منجر به اجرای کد از راه دور (RCE) در PHP و بخشی از جفت PHP2Shell در کنار CVE-2026-109619 می شود. بنیاد پی اچ پی به طور رسمی وصله های هر دو را در روز چهارشنبه فاش و منتشر کرد.

یک شبه، محققان VulnCheck چیزی را توسعه دادند که آنها معتقدند اولین اکسپلویت شناخته شده برای دستیابی به اجرای کد از راه دور در سیستم‌های x86-64 دارای ASLR با پیکربندی تولید توصیه‌شده PHP است.

ASLR یک دفاع داخلی در برابر اشکالات تخریب حافظه است - مانند PHP2Shell - که به طور تصادفی مکان های حافظه مناطق کلیدی داده برنامه را مرتب می کند. با درهم‌آمیزی این مؤلفه‌ها، در حافظه هر بار که برنامه اجرا می‌شود، ASLR مانع از حدس صحیح آدرس حافظه هدف توسط مهاجمی می‌شود که تلاش می‌کند به RCE دست یابد - و بنابراین از اجرای کدهای مخرب جلوگیری می‌کند.

مک اینتایر به ما گفت در حالی که VulnCheck "صدها" مخازن اثبات مفهوم PHP2Shell را در GitHub دیده است، "تعداد بسیار کمی حاوی سوء استفاده‌های قانونی و قانونی هستند،" مک اینتایر به ما گفت که این امر عمدتا به دلیل ASLR است.

مک اینتایر گفت: «بین نشان دادن یک آسیب‌پذیری و توسعه یک اکسپلویت که می‌تواند بر حفاظت‌های امنیتی موجود در محیط‌های واقعی غلبه کند، تفاوت معناداری وجود دارد. یکی از بزرگ‌ترین موانع، ASLR بوده است، محافظتی که برای استفاده از آسیب‌پذیری‌های تخریب حافظه بسیار سخت‌تر است.

به ما گفته شده است که تکنیک جدید شکارچیان تهدید، ASLR را دور می زند. از یک نشت حافظه تایید شده زنجیر شده به RCE در PHP 8.4.26 استفاده می کند و آنها ادعا می کنند که روی پلتفرم های x86-64 حتی با فعال بودن ASLR و پیکربندی نمایش_errors=off پیشنهادی PHP کار می کند.

مک اینتایر گفت: «ما بهره‌برداری عمومی یا تجاری دیگری را شناسایی نکرده‌ایم که در شرایط مشابه به این امر دست یابد. "توسعه این قابلیت به دور از اهمیت بود، اما نشان می دهد که می توان بر یک مانع بزرگ برای بهره برداری از PHP2Shell در سیستم های پیکربندی شده تولید غلبه کرد."

VulnCheck می گوید که روی ARM64 نیز کار می کند، اما RCE در حال حاضر روی سیستم های مبتنی بر ARM کارایی ندارد.

مک اینتایر گفت: «این باید زنگ خطری برای همه سازمان‌هایی باشد که، به‌ویژه اکنون در عصر شکار اشکال هوش مصنوعی و توسعه بهره‌برداری، «مشکل فنی بهره‌برداری از یک آسیب‌پذیری را نباید با محافظت در برابر آن اشتباه گرفت.

سازمان‌هایی که نسخه‌های آسیب‌پذیر PHP را اجرا می‌کنند باید به جای اینکه تصور کنند حفاظت‌های حافظه موجود یا تغییرات پیکربندی حمله را متوقف می‌کند، وصله‌سازی را در اولویت قرار دهند. ®