Milliós nagyságrendben próbálkoznak a PHP2Shell hibáival, javítás már van
A Cowrai elemzése a Mirai kártevő egyik változatához kapcsolta a PHP2Shell elleni próbálkozásokat, de sikeres éles kihasználást az október 23-i beszámolók még nem igazoltak. A két kritikus PHP-hiba bejelentkezés nélkül is lehetővé tehet távoli kódfuttatást, ezért az érintett weboldalak és tárhelyek üzemeltetőinek mielőbb telepíteniük kell a már elérhető javításokat.
Fontos
Aktívan kihasznált (a forrás szerint), kritikus: CVSS 9.2
Egy bővítmények nélküli WordPress-oldal is érintett lehet
A PHP2Shell név a CVE-2026-109618 és CVE-2026-109619 azonosítójú sebezhetőségeket takarja. Mindkettő a PHP motorjában található, nem valamelyik webes alkalmazásban. A hibás kód a 2012-ben megjelent PHP 5.4 verzióig nyúlik vissza, és a webes kéréseket kezelő PHP-verziókat érinti.
Speciálisan összeállított HTTP-kérésekkel egy támadó hitelesítés nélkül futtathat kódot a kiszolgálón. A két rés a műszaki súlyosságot jelző CVSS-skálán egyaránt 9,2 pontot kapott, ami kritikus besorolás. Ez az érték önmagában nem jelzi, hogy történt-e sikeres visszaélés.
Weboldalak, tartalomkezelő rendszerek és megosztott tárhelyszolgáltatások is érintettek lehetnek. Egy alap WordPress-telepítés sem kivétel: külön bővítmények nélkül is veszélyeztetett, ha sérülékeny PHP-verziót használ.
A támogatott ágakhoz már letölthető a javítás
A PHP október 21-én rendkívüli kiadásokat tett elérhetővé. A két PHP2Shell-hibát a 8.2.35, 8.3.36, 8.4.27 és 8.5.12 verzió javítja. Az érintett telepítéseket mielőbb ezek valamelyikére kell frissíteni.
A régebbi ágaknál más a helyzet. A PHP 7.4, 8.0 és 8.1 esetében a szoftverterjesztő által biztosított korrekcióra vagy támogatott verzióra váltásra van szükség. Ezekhez forráskódszintű javítás készült, kész PHP-kiadás nem. A még korábbi változatok javítatlanok maradtak.
A Censys arra is felhívja a figyelmet, hogy a PHP más szoftver függőségeként, az üzemeltető tudta nélkül is felkerülhetett egy internetes szerverre. Ezért a cég minden ilyen kiszolgáló üzemeltetőjének javasolja annak ellenőrzését, hogy fut-e rajta eddig fel nem ismert PHP-telepítés.
A tömeges próbálkozás még nem bizonyított betörés
A Cloudflare a nyilvános bejelentés utáni 45 percben több tízezer kihasználási kísérletet észlelt. Október 22-re ezek száma milliós nagyságrendűre nőtt. A megfigyelt forgalomban szerverek felderítése és kártevő eljuttatására irányuló próbálkozás is szerepelt.
A Sophos által elemzett esetben a Potassium nevű, Mirai-alapú kártevőt igyekeztek a célpontra juttatni. A védelmi rendszer ezt megakadályozta, így a program nem került a megtámadott gépre. A vizsgált minta további fájlok letöltésére és elosztott szolgáltatásmegtagadási támadások indítására is képes.
A Sophos szerint a támadók számára is nehézséget okoz a megbízható kihasználás kidolgozása. Saját kutatói a vártnál több munkával készítettek működő támadókódot, még mesterséges intelligencia segítségével is.
Működő kutatói támadókód már létezik
A VulnCheck kutatói olyan kihasználást fejlesztettek, amely megkerüli az ASLR nevű védelmet. Ez a kód és az adatok memóriabeli elhelyezését véletlenszerűsíti. A kutatók memóriacímek kiszivárogtatásával jutottak el a kódfuttatásig.
A működő kutatói eszköz és a nyilvánosan terjedő minták között ugyanakkor különbség van. A VulnCheck szerint a GitHub oldalain megjelent több száz demonstrációs adattár közül nagyon kevés tartalmaz valódi kihasználást. A Sansec október 22-i értékelése szerint a nyilvános támadókódok az alapbeállítású PHP-telepítéseken nem működtek.
A Cisco Talos ezért azt javasolja az üzemeltetőknek, hogy a rendelkezésre álló időt a sérülékeny rendszerek javítására használják.
A verziószám önmagában nem bizonyít sérülékenységet
A Censys internetes felmérése a szolgáltatások által közölt PHP-verziószámokra támaszkodik. A Linux-disztribúciók azonban régebbi változatokba is visszaemelhetik a biztonsági korrekciókat, ezért egy korábbi kiadásszám nem feltétlenül jelent javítatlan telepítést.
A mérés további korlátja, hogy sok szolgáltatás elrejti ezt az adatot, és az eredmények késhetnek. A nyilvántartás szolgáltatásokat számol, nem szervezeteket vagy fizikai gépeket: egyetlen kiszolgáló több külön bejegyzéssel is szerepelhet benne.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum