PHP2Shell Exploitation Moves From Probes to Working Shells
Un investigador informó que actores maliciosos lograron explotar con éxito las vulnerabilidades conocidas como PHP2Shell para ejecutar comandos de consola en servidores señuelo. Estas fallas críticas permiten la ejecución remota de código sin necesidad de autenticación y fueron corregidas por PHP, después de que se filtrara información en internet.
Antes de que se lanzaran los parches, ya se habían registrado millones de intentos de explotación, aunque las empresas de seguridad aún no habían confirmado ejecuciones de código exitosas, a pesar de la existencia de exploits capaces de evadir las protecciones ASLR. Un investigador de Perplexity que opera sistemas señuelo con una configuración específica de PHP y Apache documentó inicialmente errores de memoria y caídas de procesos sin que se lograra la ejecución de código.
La situación cambió cuando los sensores del investigador registraron múltiples consolas abiertas en los servidores señuelo, vinculadas a direcciones IP específicas. Los atacantes emplearon una cadena de solicitudes HTTP en varias fases para agotar y filtrar la memoria antes de ejecutar el comando final, un tráfico que coincidía con una prueba de concepto pública y con la explotación de una de las fallas.
Aunque se confirmó la ejecución remota de código y la divulgación de memoria, el investigador advirtió que estos resultados se obtuvieron en un perfil intencionalmente favorable y no miden la fiabilidad del exploit en otras configuraciones. Por su parte, un investigador principal de amenazas de Expel calificó los hallazgos como la confirmación de mayor calidad sobre la explotación de PHP2Shell en la naturaleza, mientras que una agencia gubernamental había actualizado sus alertas y reglas de detección, pero aún no había incorporado las vulnerabilidades a su catálogo de explotadas conocidas.