Ņujorka, Amerikas Savienotās Valstis, 2026. gada 28. oktobris, CyberNewswire
Jaunā praktiskā laboratorija ļauj drošības speciālistiem tiešā veidā izpētīt PHP2Shell izmantošanu, jo AI atbalstīta izpēte pārveido ievainojamības atklāšanu.
OffSec šodien paziņoja par bezmaksas, interaktīvas praktiskas laboratorijas izlaišanu programmā Proving Grounds Play (PG Play), lai palīdzētu drošības speciālistiem pārbaudīt un aizsargāties pret kritiskajām “PHP2Shell” ievainojamībām (CVE-2026-109618 un CVE-2026-109619). Izstrādāta, reaģējot uz mākslīgā intelekta paātrinātu ievainojamību atklāšanu un aktīviem ekspluatācijas gadījumiem, kas mērķēti uz PHP galvenajiem dzinējiem savvaļā, laboratorija nodrošina iespiešanās testētājiem un uzņēmumu aizstāvjiem drošu, kontrolētu vidi, lai izpētītu desmit gadus vecus atmiņas bojājumu defektus un laicīgi ieviestu servera mazināšanas pasākumus.
Divi kritiskie trūkumi pastāvēja PHP — valoda aiz aptuveni 70% vietņu, kuru servera puses valoda ir zināma, vairāk nekā desmit gadus. Pēc tam Google piederošā mākoņdrošības uzņēmuma Wiz pētnieki norādīja uz AI uz kodu.
Viņi atklāja pirmo trūkumu 19. augustā. Nākamajā dienā viņi to izmantoja, lai bez paroles pārņemtu Drupal vietni. Nākamajā dienā tas darbojās WordPress.
PHP atklāja trūkumus 21. oktobrī kā CVE-2026-109618 un CVE-2026-109619. Uzbrucējs bez pieteikšanās var nosūtīt virkni izstrādātu tīmekļa pieprasījumu, lai avarētu serveri vai pārņemtu to. PHP nopietnības rādītāji novērtē abas ievainojamības kā sarežģītas, lai gan darbojas uzbrukumi jau pastāvēja. Kiberdrošības un infrastruktūras drošības aģentūra (CISA) iesaka nekavējoties labot.
Uzbrucēji virzās ātri. Amazon PHP2Shell sauc par plaši izmantotu savvaļā. Līdz 24. oktobrim pētnieki bija apstiprinājuši, ka uzbrucēji izpilda komandas ievainojamos Honeypot serveros. CISA 26. oktobrī pievienoja abus trūkumus zināmo izmantoto ievainojamību katalogam.
“PHP ir viena no tām tehnoloģijām, ko uzbrucējiem patīk redzēt,” teica Kīgans Bovens, OffSec galvenais DevOps vadītājs. “Gadu gaitā tas ir bijis lielisks uzbrukuma vektors ar daudziem ekspluatācijas veidiem un iespējamiem pārkāpumiem. PHP jau no paša sākuma nebija izstrādāts ar drošību.”
OffSec, kas kopš 2006. gada ir mācījis praktisku aizskarošu drošību, ir izlaidis bezmaksas PHP2Shell laboratoriju programmā Proving Grounds Play (PG Play). Laboratorija nodrošina iespiešanās pārbaudītājiem un citiem drošības speciālistiem kontrolētu vidi, lai tiešā veidā izpētītu CVE-2026-109618 un CVE-2026-109619. OffSec emuārs novērš abus trūkumus, un tā koncepcijas pierādījums ir pieejams vietnē Exploit-DB.
AI un augošais izmantošanas temps
PHP abus trūkumus novērtēja ar 9,2 no 10, kas ir kritisks vērtējums. Lai izveidotu funkcionējošu uzbrukumu, Wiz pētniekiem bija jāsavieno vairākas kļūdas un jāpielāgo uzbrukums katra servera atmiņai. Kad viņi ļāva mākslīgajam intelektam strādāt, viens pētnieks nedēļas laikā pabeidza darbu, kas kādreiz prasīja labāko komandas mēnesi. Uzbrucēji var izmantot vienus un tos pašus AI modeļus, tāpēc kļūdas, kas kādreiz bija pārāk sarežģītas, lai būtu svarīgas, tagad ir godīga spēle.
“Šobrīd uzbrucēji ļoti paļaujas uz AI, lai atrastu un izmantotu ievainojamības; CVE līmenis ir aptuveni divas reizes lielāks nekā tika ziņots pagājušajā gadā.” teica Mets Freitas-Stavola, OffSec personāla programmatūras inženieris.
“LLM nenogurst un var viegli darboties fonā tik ilgi, kamēr uzbrucējiem ir rezerves vai aprēķini. Pat tagad pietiek tikai ar mājienu par to, kur var rasties problēma, lai LLM salīdzinoši ātri iegūtu funkcionējošu POC.”
Šo trūkumu sekas
Abi trūkumi sākas ar vienu un to pašu vājo vietu: ko PHP dara, ja pieprasījumam pietrūkst atmiņas vai rodas cita fatāla kļūda.
“PHP ir veidots no C, un atmiņas pārvaldība kļūst arvien grūtāka, jo kods aug.” Bovens teica. “Daži bezatmiņas stāvokļi netika pareizi apstrādāti. Dažos gadījumos uzbrucēji var piekļūt pārtrauktiem stāvokļa datiem, pirms tie tiek iztīrīti. Tas kļūst par ļaunprātīgas izmantošanas iespēju.”
Šo atlikušo stāvokli var pārnest uz nākamo pieprasījumu tam pašam darbiniekam. Uzbrucējs, kurš to veido, var palaist kodu ar tīmekļa servera privilēģijām.
Tās pašas kļūdas var arī nopludināt datus. Wiz parādīja, ka uzbrucēji varētu nolasīt atmiņu no PHP procesa. Šajā atmiņā varētu būt paroles, sesijas marķieri, API atslēgas un sertifikāti no citiem pieprasījumiem vai paša servera.
Stāsts joprojām attīstās. 23. oktobrī PHP atklāja atsevišķu trūkumu CVE-2026-115560, kas var ietekmēt pilnībā labotos serverus ar neparastu sesijas iestatījumu. PHP vēl nav to labojis. Pētnieki ir arī izveidojuši PHP2Shell izlietojumus, kas pārspēj ASLR, kopēju atmiņas aizsardzību, un, pētot trūkumus, var rasties vairāk problēmu. Pētījumiem turpinoties, var parādīties jaunas ievainojamības, izmantošanas metodes un seku mazināšanas pasākumi, kas pārsniedz šeit aprakstītos.
OffSec pašreizējie ieteikumi
Šīs darbības atspoguļo to, kas ir zināms publicēšanas laikā. Pārbaudiet CISA un PHP projektu, lai iegūtu jaunākos ieteikumus.
- Labojiet PHP tūlīt. Atjauniniet uz PHP 8.5.12, 8.4.27, 8.3.36 vai 8.2.35, lai adresētu CVE-2026-109618 un CVE-2026-109619. Pārbaudiet pārdevēju ieteikumus, nevis paļaujieties tikai uz versiju numuriem.
- Atjauniniet pamatā esošo PHP dzinēju. WordPress, Drupal vai citas lietojumprogrammas atjaunināšana neatrisina pašas PHP ievainojamības. Pārbūvējiet ietekmētos konteinera attēlus un restartējiet PHP procesus, lai atjauninātais kods stātos spēkā.
- Pielietojiet pagaidu aizsardzību ielāpēšanas laikā. Atspējot PHP sesijas augšupielādes norisi (session.upload_progress.enabled=0), kas arī mazina CVE-2026-115560. PHP 8.5 versijā atspējojiet fatālu kļūdu izsekošanu un restartējiet ietekmētos darbiniekus pēc konfigurācijas izmaiņām. Šie pasākumi samazina iedarbību; tie neaizstāj lāpīšanu.
- Izpētiet iespējamo kompromisu. Pārskatiet tīmekļa servera un PHP žurnālus, lai atklātu aizdomīgus vairāku daļu pieprasījumus, atmiņas ierobežojumu kļūdas, atkārtotas HTTP 500 atbildes, nepareizi veidotus sesijas sīkfailus un neparedzētas PHP darbinieka restartēšanas. Izmeklēšanā jāņem vērā darbības, kas datētas vismaz ar 17. oktobri, kad pirmo reizi tika ziņots par izmantošanas mēģinājumiem. Ja nepieciešams, pagrieziet potenciāli ietekmētos akreditācijas datus, API atslēgas un pilnvaras.
Izprotiet Exploit. Stiprināt Aizsardzību.
Kad tiek atklāta nākamā informācija, kādam no komandas ir jānovērtē ekspozīcija. Lasīšana par ekspluatāciju palielina izpratni. Praktisks darbs pie viena attīsta prasmi reaģēt.
OffSec PHP2Shell laboratorija palīdz praktizētājiem pārvērst tehniskās zināšanas praktiskā pieredzē, ko viņi var izmantot nākotnes ievainojamībām. Lai padziļināti apskatītu ievainojamības, izpētiet OffSec tehnisko analīzi. Organizācijas, kas vēlas izveidot šīs iespējas savās drošības komandās, var izpētīt OffSec darbaspēka attīstības programmas.
Par OffSec
OffSec ir pasaulē vadošais augstas precizitātes kiberdrošības apmācību un sertifikāciju nodrošinātājs. Izstrādāts uz izcilības, integritātes un nerimstošā “Try Harder” ētikas pamata, OffSec dod iespēju indivīdiem un organizācijām pārspēt mainīgos kiberdraudus, izmantojot stingras, praktiskas mācības.
Sazināties
Preses komanda
OffSec
(aizsargāts ar e-pastu)
