Попытки злоумышленников использовать уязвимости PHP2Shell не увенчались успехом, исследователи раскрыли обход ASLR

Злоумышленники сканируют и проверяют веб-серверы на наличие недавно раскрытых уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619) с целью развертывания варианта ботнета, основанного на Mirai, известного как Potassium. Уязвимости, оценённые CVSS в 9,2, позволяют неаутентифицированное удалённое выполнение кода, но были исправлены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

"Однако анализ образца показал, что это обновлённая и значительно расширенная версия варианта ботнета, основанного на Mirai, выявленного в начале 2026 года," — сообщила Sophos. "Образец обладает функциями загрузчика и нарушения работы сети."

Образец Potassium связывается с жёстко закодированным зашифрованным адресом командно-управляющего сервера (134.199.154[.]64) по TCP, проверяет наличие HTTP-ответа 200 и ожидает Linux-ELF-бинарник в качестве вторичной полезной нагрузки. Он включает резолвер, способный использовать публичные DNS-серверы, такие как 8.8.8.8, 1.1.1.1 и 1.0.0.1, и может запускать DDoS-атаки, схожие с исторической активностью Mirai.

Три IP-адреса (85.11.167[.]243, 217.60.242[.]76, 45.198.224[.]169) были связаны с кампанией, они связываются с загрузчиком по адресу 92.118.112[.]100. Ботнет пытается перегрузить два соседних хоста в украинской сети (45.88.138[.]0 и 45.88.138[.]44) с помощью объёмных атак.

Компаниям по кибербезопасности сообщили, что несмотря на высокий объём сканирования — десятки тысяч попыток в течение минут после публичного раскрытия и миллионы к концу октября 2026 года — успешных эксплойтов не зафиксировано. Cisco Talos охарактеризовал большую часть активности как сканирование или базовую доставку полезной нагрузки, в то время как Previdian зафиксировал сотни попыток, но без подтверждённого удалённого выполнения кода.

"Мы видели множество запросов и попыток эксплуатации PHP2Shell в наших honeypot-ах," — сказал Previdian. "На момент написания статьи мы не наблюдали успешного удалённого выполнения кода и не обнаружили сброшенных PHP-файлов. Надёжный RCE может оказаться сложнее достичь, чем ожидалось."

SOCRadar выявил Python-инструмент эксплойта (aslr_exploit.py), который обещает «одним нажатием» эксплуатировать PHP2Shell для PHP 8.4.26, используя утечку памяти через cookies сессии для обхода ASLR и злоупотребляя прогрессом загрузки сессии для выполнения команд. Набор также включает скрипты для определения отпечатков целевых сайтов и перечисления плагинов WordPress, хотя на 22 октября 2026 года компрометированных сайтов не подтверждено.

VulnCheck продемонстрировал новый метод, связывающий две уязвимости для обхода ASLR на системах x86-64, достигая удалённого выполнения кода даже при включённых в PHP рекомендуемых настройках отображения ошибок в продакшн-режиме. Исследователи предупредили, что успешная эксплуатация может дать злоумышленникам возможность доступа к API-ключам, базам данных и другим внутренним сервисам.

Государственные и публичные сайты в Азии, Европе и Северной Америке провели профилактические отключения, в Великобритании сообщают о 32 отключённых цифровых сервисах. Национальный центр кибербезопасности выпустил около 50 000 предупреждений. Аналитики оценивают, что более 34 млн PHP-служб остаются уязвимыми, и многие организации могут оставаться под угрозой длительный период.

"Многие приложения с веб-серверами и аналогичными компонентами, вероятно, останутся уязвимыми, пока их поставщики не выпустят патчи," — сказал Dataminr.

В целом картина указывает на широкую заинтересованность в уязвимостях PHP2Shell, но текущие данные свидетельствуют об ограниченном успехе в их масштабном вооружении.