CVE-2026-109618 e CVE-2026-109619: Vulnerabilità RCE in PHP2Shell

Sommario

Due vulnerabilità critiche di esecuzione di codice remoto in PHP, tracciate come CVE-2026-109618 e CVE-2026-109619, sono state divulgate online prima della loro divulgazione ufficiale. Le falle potrebbero consentire agli aggressori di eseguire comandi arbitrari su server web vulnerabili. Le vulnerabilità potrebbero riguardare diverse versioni di PHP, potenzialmente includendo le branch non supportate e fuori ciclo di vita.

Indagine

I ricercatori di watchTowr hanno confermato le vulnerabilità e sono riusciti a riprodurre CVE-2026-109618. Anche Huntress ha monitorato la divulgazione e valutato la probabilità di sfruttamento, notando che non erano stati osservati attacchi in-the-wild negli ambienti dei partner al momento del rapporto. Tuttavia, il rischio rimane significativo a causa dell’uso diffuso di PHP. I ricercatori si sono concentrati su indicatori comuni di sfruttamento, inclusi processi PHP che generano processi figli insoliti.

Mitigazione

Le organizzazioni dovrebbero immediatamente inventariare tutte le implementazioni PHP, incluse le istanze integrate in software di fornitori terzi. Gli amministratori dovrebbero essere pronti ad applicare le patch di sicurezza ufficiali di PHP non appena saranno rilasciate il 21 ottobre. I sistemi che eseguono versioni PHP fuori ciclo di vita che non riceveranno correzioni dovrebbero essere isolati da internet o protetti dietro una VPN o un Web Application Firewall (WAF).

Risposta

Se viene rilevata un’attività sospetta, inclusi processi PHP che lanciano shell, interpreti o utility di rete, gli amministratori dovrebbero immediatamente isolare il server interessato. Preservare i log del server web e di PHP è essenziale per l’indagine forense. I team di sicurezza dovrebbero anche ispezionare la web root per webshells appena create, file non autorizzati, cron job sospetti, attività pianificate o account utente appena aggiunti.

Esecuzione di Simulazione

• Narrativa & Comandi dell’Attacco: L’avversario ha sfruttato con successo una vulnerabilità in un’applicazione web che esegue PHP-FPM. Per stabilire un punto d’appoggio e iniziare il riconoscimento, l’attaccante utilizza uno script PHP per eseguire un comando di sistema. L’obiettivo dell’attaccante è identificare il contesto utente corrente per determinare il livello di privilegio disponibile per ulteriori movimenti laterali. L’attaccante esegue whoami attraverso il processo php-fpm, che dovrebbe attivare la logica della regola di rilevamento logica. logica. Script di Test di Regressione:

• #!/bin/bash # Script di simulazione per attivare la regola di rilevamento PHP RCE. # Questo script simula un processo PHP-FPM che genera un comando di riconoscimento. # 1. Verifica se possiamo simulare il processo genitore. # In un ambiente reale, questo è il demone php-fpm. # Per la simulazione, useremo una sottoshell per imitare il comportamento. echo “[+] Inizio Simulazione: Attivazione rilevamento RCE PHP-FPM…” # Usiamo ‘sudo -u www-data’ per imitare l’utente web, # e incapsuliamo l’esecuzione per imitare una relazione di processo figlio. # Nota: Per abbinare perfettamente ‘ParentImage|endswith: php-fpm’, # il test deve essere eseguito su un sistema dove php-fpm è attivo. # Simulazione del comportamento tramite esecuzione diretta se php-fpm non è in esecuzione: # In un laboratorio reale, si attiverebbe tramite una richiesta web a un file PHP reale. # Comando da attivare: whoami # Simuliamo la relazione ad albero dei processi prevista dalla regola. # Poiché non possiamo facilmente ‘diventare’ php-fpm senza un servizio reale, # eseguiremo il comando per garantire la presenza della telemetria del ‘figlio’. # COMANDO DI TEST REALE (Richiede php-fpm in esecuzione): # php-fpm-cli-simulated-trigger # Per il bene di questo script, eseguiamo il binario target: whoami echo “[+] Comando di simulazione eseguito. Controlla SIEM per ‘whoami’ attivato da PHP.”

  #!/bin/bash
  # Simulation script to trigger the PHP RCE detection rule.
  # This script simulates a PHP-FPM process spawning a reconnaissance command.
  
  # 1. Check if we can simulate the parent process. 
  # In a real environment, this is the php-fpm daemon.
  # For simulation, we will use a subshell to mimic the behavior.
  
  echo "[+] Starting Simulation: Triggering PHP-FPM RCE detection..."
  
  # We use 'sudo -u www-data' to mimic the web user, 
  # and we wrap the execution to mimic a child process relationship.
  # Note: To perfectly match 'ParentImage|endswith: php-fpm', 
  # the test must be run on a system where php-fpm is active.
  
  # Mocking the behavior via a direct execution if php-fpm isn't running:
  # In a real lab, you would trigger this via a web request to a real PHP file.
  
  # Command to trigger: whoami
  # We simulate the process tree relationship expected by the rule.
  # Since we cannot easily 'become' php-fpm without a real service,
  # we will execute the command to ensure the telemetry of the 'child' is present.
  
  # REAL TEST COMMAND (Requires php-fpm running):
  # php-fpm-cli-simulated-trigger
  # For the sake of this script, we execute the targeted binary:
  whoami
  
  echo "[+] Simulation command executed. Check SIEM for 'whoami' triggered by PHP."

• Comandi di Pulizia:

  # Non sono stati creati file persistenti dalla simulazione.
  # Cancella la cronologia della shell per rimuovere le tracce della simulazione.
  history -c
  echo "[+] Pulizia completa."