Preuve d'exploitation active signalée

Une preuve d'exploitation active de la vulnérabilité PHP2Shell a fait son apparition, bien qu'elle ne semble pas être générique. Si plusieurs entités affirment avoir développé des exploits de preuve de concept (PoC), il n'existe toujours aucune preuve publique d'un exploit entièrement générique qui fonctionnerait sur toutes les versions et configurations de PHP.

Chronologie établie avec l'aide de l'IA

Un ingénieur de HubSpot a compilé une chronologie des événements entourant PHP2Shell à l'aide de l'intelligence artificielle, sans qu'elle ait été entièrement vérifiée. Ce résumé retrace la succession des annonces, des rétractations, ainsi que le calendrier des divulgations de vulnérabilités et des affirmations connexes.

La publication anticipée de correctifs par Chainguard

Avant la publication officielle des correctifs, Chainguard a rompu l'embargo en publiant des versions mises à jour de sa distribution Wolfi 12 heures avant la date limite convenue. L'entreprise a invoqué, pour justifier cette publication anticipée, des signalements d'exploitation active sur les canaux de coordination ainsi que la relative facilité de création d'un PoC.

L'élargissement de la portée des PoC de VulnCheck

VulnCheck, une entreprise de cybersécurité, a d'abord affirmé disposer d'un PoC fonctionnel sur PHP 8.4.26 (mod_php) sur des systèmes x86-64 dotés de l'ASLR activé et dont display_errors était désactivé. Depuis, il a été signalé que ce PoC fonctionne sur la plupart des versions non corrigées des branches PHP 8.2 à 8.5, y compris sur l'architecture ARM.

L'exploit « de production » de Trail of Bits

Trail of Bits a progressivement affiné son PoC jusqu'à affirmer disposer d'un exploit « de production » fonctionnant avec la configuration php.ini par défaut dans les environnements multi-workers. L'entreprise a démontré cet exploit sur plusieurs applications populaires reposant sur PHP, dont MediaWiki, WordPress et Laravel.

Le CERT indien signale une exploitation à grande échelle

Le CERT indien a publié une alerte affirmant que « plusieurs rapports confirment une exploitation à grande échelle » de PHP2Shell. Toutefois, cette alerte ne fournit aucune source précise ni aucune preuve à l'appui de cette affirmation.

Sophos et Palo Alto reviennent sur leurs déclarations

Sophos a d'abord signalé une preuve de compromission liée à PHP2Shell, avant de retirer cette affirmation. De même, l'équipe Unit 42 de Palo Alto Networks avait fait état d'une attaque contre une agence gouvernementale européenne, puis a rétracté cette affirmation, précisant que l'attaque n'avait peut-être pas été lancée via PHP2Shell.

L'observation de Perplexity à partir d'un pot de miel

Les indices les plus crédibles d'une exploitation de PHP2Shell en dehors d'un environnement de laboratoire proviennent du directeur de la détection et de la réponse de Perplexity. Son équipe a observé, sur un réseau de pots de miel (honeypots), une chaîne d'exploitation en quatre étapes, qui a abouti à une exécution de code arbitraire et a reproduit un PoC public.

Détails de la chaîne d'exploitation

La chaîne d'exploitation comportait quatre étapes. La première requête a épuisé la mémoire et laissé le tas dans un état invalide. La deuxième a forcé le renvoi d'un cookie volumineux, révélant la disposition de la mémoire. La troisième a stabilisé le tas, et la quatrième a exécuté dynamiquement une charge utile avec des adresses mémoire recalculées, contournant ainsi les protections ASLR.

Notes sur la configuration du pot de miel

La configuration du pot de miel utilisée par Perplexity n'était pas typique, comme l'a souligné l'entreprise. Elle impliquait des instances PHP 8.24.6 fonctionnant via mod_php en mode monoworker avec une limite de mémoire de 128 Mo, ce qui a pu rendre le système plus vulnérable que les configurations standard.

La CISA ajoute PHP2Shell au catalogue KEV

Lundi, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté PHP2Shell à son catalogue des vulnérabilités exploitées connues (KEV), indiquant que la vulnérabilité est activement exploitée dans la nature.