PHP2Shell: exploit di VulnCheck aggira ASLR su x86-64, CVE-2026-109618

• VulnCheck ha un exploit per CVE-2026-109618 che aggira ASLR su x86-64 con PHP 8.4.26
• PHP2Shell comprende anche CVE-2026-109619; patch della PHP Foundation rilasciate mercoledì
• Segnalati sfruttamenti prima della divulgazione e siti del governo britannico oscurati
• Aggiornare PHP subito: ASLR e configurazioni non bastano

VulnCheck ha messo a punto un nuovo exploit per la vulnerabilità PHP2Shell che aggira l’Address Space Layout Randomization (ASLR) su server x86-64. Secondo l’azienda è il primo exploit noto in grado di ottenere esecuzione di codice remoto (RCE) su sistemi con ASLR attivo e con la configurazione di produzione raccomandata da PHP. L’exploit è disponibile solo per i clienti del servizio Initial Access Intelligence di VulnCheck.

La vulnerabilità

L’exploit riguarda CVE-2026-109618, un bug critico di corruzione della memoria (out-of-memory) che porta a RCE in PHP. Insieme a CVE-2026-109619 forma la coppia nota come PHP2Shell. La PHP Foundation ha reso pubbliche entrambe le falle e rilasciato le patch mercoledì.

Giovedì la vicenda si è allargata. Sono arrivate segnalazioni di attaccanti che sfruttavano le falle nei giorni precedenti alla divulgazione. Inoltre, alcuni siti web del governo britannico sono stati oscurati in via precauzionale.

Perché ASLR conta

ASLR è una difesa contro i bug di corruzione della memoria. Dispone in modo casuale, a ogni esecuzione, le aree di memoria chiave di un programma. Così chi attacca non può indovinare l’indirizzo giusto in cui eseguire codice malevolo.

Finora, spiega VulnCheck, ASLR è stato l’ostacolo principale allo sfruttamento di PHP2Shell su server reali. L’azienda ha osservato “centinaia” di repository GitHub con proof-of-concept, ma pochissimi contengono exploit davvero funzionanti.

La tecnica

La tecnica concatena una fuga di memoria (memory leak) confermata con la RCE su PHP 8.4.26. Secondo i ricercatori funziona su x86-64 con ASLR attivo e con display_errors=off, la configurazione di produzione raccomandata. VulnCheck afferma di non conoscere altri exploit, pubblici o commerciali, che raggiungano lo stesso risultato alle stesse condizioni.

Su ARM64 la tecnica sarebbe applicabile, ma la RCE al momento non funziona su sistemi basati su ARM.

Spencer McIntyre, director of exploit development di VulnCheck, ha dichiarato a The Register che gli avversari “stanno chiaramente dedicando tempo (e token)” a questo bug. VulnCheck avverte che gli attaccanti usano l’AI per trovare altri modi di attacco.

Cosa fare

• Dare priorità all’aggiornamento delle versioni vulnerabili di PHP con le patch rilasciate dalla PHP Foundation.
• Non affidarsi a ASLR o a modifiche di configurazione come unica protezione.

Per McIntyre, la difficoltà tecnica di sfruttare una vulnerabilità non va confusa con la protezione contro di essa, soprattutto nell’era della ricerca di bug e dello sviluppo di exploit assistiti dall’AI.

Fonte: theregister · Foto: theregister