Questo post é stato letto 100 volte!
Una delle principali difese dei sistemi operativi moderni contro gli attacchi alla memoria, l'Address Space Layout Randomization (ASLR), è stata superata da PHP2Shell. I ricercatori di VulnCheck hanno dimostrato che è possibile sfruttare una delle due vulnerabilità critiche recentemente scoperte in PHP anche su server x86-64 con ASLR attivo. L'exploit funziona anche con la visualizzazione degli errori disabilitata, una configurazione comune negli ambienti di produzione.
Questa scoperta modifica significativamente la valutazione del rischio per milioni di installazioni PHP esposte su Internet. Le vulnerabilità, identificate come CVE- e CVE-, entrambe con un punteggio CVSS 4.0 di 9,2, sono state rese pubbliche il 20 ottobre 2026, poco prima del rilascio delle patch ufficiali da parte del team PHP il giorno successivo.
VulnCheck ha annunciato un exploit funzionante su PHP dalla versione 8.4.10 alla 8.4.26, senza necessità di adattamenti tra le diverse release. L'attacco combina una perdita di informazioni dalla memoria (memory leak) con una successiva esecuzione di codice remoto (RCE). Ciò dimostra come alcune difese, considerate importanti per limitare lo sfruttamento dei problemi di corruzione della memoria, possano rivelarsi insufficienti quando un aggressore riesce a concatenare più primitive di attacco.
ASLR è una tecnologia introdotta nei sistemi operativi per randomizzare la disposizione delle aree di memoria utilizzate dai processi, rendendo meno prevedibile la posizione del codice eseguibile e delle librerie. In assenza di ASLR, un aggressore può prevedere dove si trovino determinate informazioni e sfruttare più facilmente le vulnerabilità di corruzione della memoria. Con ASLR attivo, gli indirizzi cambiano tra le diverse esecuzioni del processo, costringendo l'aggressore a trovare un modo per individuare le posizioni effettivamente assegnate.
La novità è che i ricercatori di VulnCheck sono riusciti a realizzare un exploit per CVE- che sfrutta un memory leak per ottenere dati utili a superare l'incertezza introdotta dalla randomizzazione degli indirizzi con ASLR. Combinando questa capacità con un difetto che permette di alterare le strutture interne del processo, è possibile costruire una catena di sfruttamento molto più efficace. L'exploit descritto da VulnCheck supera ASLR su x86-64 e funziona anche con la configurazione `display_errors=off`, raccomandata per i server esposti su Internet.
La scoperta di VulnCheck non significa che ASLR sia inutile, ma che una vulnerabilità capace di rivelare informazioni dalla memoria può ridurne l'efficacia. La raccomandazione principale è di aggiornare PHP alle versioni 8.5.12, 8.4.27, 8.3.36 o 8.2.35, tutte rilasciate il 21 ottobre 2026. Per le installazioni che non possono essere aggiornate immediatamente, gli sviluppatori suggeriscono misure temporanee come l'utilizzo di un firewall per bloccare le richieste POST multipart verso i file PHP o l'implementazione di un Web Application Firewall (WAF). Tuttavia, l'aggiornamento dell'interprete rimane l'unica soluzione definitiva.
Le stime di VulnCheck indicano che oltre 2,6 milioni di host raggiungibili da Internet utilizzano PHP e sono potenzialmente vulnerabili. Di questi, quasi 1,5 milioni dichiarano una versione precedente a quelle corrette, mentre 1,1 milioni non espongono informazioni sufficienti per determinarla. La rete di sensori di VulnCheck ha già intercettato i primi tentativi di sfruttamento di PHP2Shell, con aggressori che inviano richieste HTTP POST multipart per verificare la presenza della vulnerabilità.
Questo post é stato letto 100 volte!