Un nuovo exploit dimostra che le protezioni legate all’Address Space Layout Randomization (ASLR) non riescono a fermare la vulnerabilità PHP2Shell su server x86-64. VulnCheck, l’azienda dietro la scoperta, ha rilasciato informazioni esclusivamente ai clienti di Intelligenza per Accesso Iniziale, avvertendo che i criminali informatici stanno utilizzando l’Intelligenza Artificiale per trovare ulteriori modi di attacco.
Secondo Spencer McIntyre, direttore dello sviluppo exploit di VulnCheck, si tratta di “un passo avanti significativo”, poiché fino a questo momento, l’ASLR aveva rappresentato un’importante barriera per l’evidenziazione di PHP2Shell in contesti reali. La crescente attenzione verso questa vulnerabilità è emersa con il crescente numero di attacchi prima della sua divulgazione ufficiale. Recentemente, anche numerosi siti web governativi del Regno Unito hanno chiuso i battenti in anticipo per precauzione rispetto ai possibili exploit.
L’exploit sviluppato da VulnCheck colpisce il bug CVE-2026-109618, un grave bug di corruzione della memoria che potrebbe portare a un’esecuzione di codice remoto (RCE) in PHP, e fa parte del duo PHP2Shell insieme a CVE-2026-109619. La PHP Foundation ha ufficialmente divulgato e rilasciato patch per entrambi mercoledì scorso.
Nella notte, i ricercatori di VulnCheck hanno sviluppato quello che credono sia il primo exploit conosciuto a raggiungere l’esecuzione di codice remoto su sistemi x86-64 con ASLR attiva e configurazioni di produzione raccomandate da PHP. Già di per sé, l’ASLR è una difesa incorporata contro i bug di corruzione della memoria, che riordina in modo casuale le posizioni di memoria delle aree chiave di dati di un programma ogni volta che viene eseguito. Ciò rende difficile per un attaccante indovinare l’indirizzo di memoria bersaglio e, di conseguenza, eseguire codice malevolo.
Tuttavia, McIntyre ha avvertito che “c’è una differenza significativa tra la dimostrazione di una vulnerabilità e lo sviluppo di un exploit che possa superare le protezioni di sicurezza presenti negli ambienti reali”. La nuova tecnica dei cacciatori di minacce riesce a bypassare l’ASLR sfruttando una perdita di memoria confermata collegata all’RCE su PHP 8.4.26. I ricercatori sostengono che funziona su piattaforme x86-64 anche con ASLR abilitato e la configurazione di produzione raccomandata di PHP, ovvero display_errors=off.
“Non abbiamo identificato un altro exploit pubblico o commerciale che raggiunga questo obiettivo nelle stesse condizioni”, ha aggiunto McIntyre. Sebbene VulnCheck affermi che l’exploit funzioni anche su ARM64, l’RCE non è attualmente operativo su sistemi basati su ARM.
Questo sviluppo dovrebbe rappresentare un campanello d’allarme per tutte le organizzazioni, soprattutto nell’era della caccia a bug tramite AI e della sviluppo di exploit. Secondo McIntyre, “la difficoltà tecnica nell’esplorare una vulnerabilità non dovrebbe essere confusa con la protezione contro di essa”. Pertanto, le organizzazioni che utilizzano versioni vulnerabili di PHP dovrebbero dare priorità all’implementazione di patch piuttosto che presumere che le protezioni esistenti o le modifiche di configurazione possano fermare un attacco.
