Succesvolle aanval op PHP-server via PHP2Shell-kwetsbaarheden

Karimi meldt aan Bleeping Computer dat de aangevallen server een gedecodeerde cookiedump van 800 KiB heeft opgeleverd. Karimi concludeert dat het daadwerkelijk om op afstand uitgevoerde code met bruikbare geheugenlekkage gaat, en niet alleen om een crash met een verdacht proces. Marcus Hutchins, bedreigingsonderzoeker bij Expel, bevestigt deze bevindingen. Hij volgt al langer meldingen van vermeende geslaagde PHP2Shell-aanvallen en noemt dit de best onderbouwde bevestiging van een succesvolle uitbuiting vna de kwetsbaarheden tot nu toe.

Patches en uitgelekte details

Het PHP-beveiligingsteam bracht de patches voor de PHP2Shell-kwetsbaarheden uit op woensdag 21 oktober. Een dag eerder had het beheerders al gevraagd zich op de updates voor te bereiden. Voor de release lekten details online uit, waaronder de CVE-nummers en mitigatieadvies dat aan enkele aanbieders van kritieke infrastructuur was verstrekt. Ook verschenen enkele proof-of-concept-exploits. Het PHP-team stelde dat geen daarvan werkte.

Meerdere beveiligingsbedrijven, onder wie Cloudflare, Hadrian, watchTowr, Previdian en Patchstack, signaleerden al vóór de openbaarmaking pogingen tot misbruik. Zij beoordeelden al die pogingen als mislukt. Ook Amazon Threat Intelligence zag aanvallers vier dagen vóór de patches pogingen doen de kwetsbaarheden uit te buiten. Volgens het TRACE-team van Dataminr bleef de activiteit tot de bevindingen van Karimi beperkt tot scannen, fingerprinting en niet-werkende exploits, zonder bekende compromittering.

Nieuwe kwetsbaarheid zonder patch

Op vrijdag deelde het PHP-beveiligingsteam mitigerende maatregelen voor een nieuwe kwetsbaarheid voor code-uitvoering op afstand, CVE-2026-115560. Daarvoor bestaat nog geen patch. De kwetsbaarheid is alleen uit te buiten bij systemen met een ongebruikelijke combinatie van configuratie en applicatiecode. Zolang er geen patch is, adviseren de PHP-ontwikkelaars beheerders de instelling session.upload_progress.enabled=0 te gebruiken. 

PHP is een webontwikkeltaal die op ongeveer 70 procent van alle websites draait. Volgens recente schattingen van VirusTotal zijn er meer dan 5,1 miljoen PHP-hosts bereikbaar via internet. Daarvan heeft ongeveer 3,8 miljoen minstens één open poort die aanvallers kunnen benaderen.