Exploit VulnCheck supera l'ASLR su x86-64 per PHP2Shell

VulnCheck afferma di avere un exploit che aggira l’ASLR su server x86-64 e rende praticabile l’attacco legato a PHP2Shell, mirato alla falla CVE-2026-109618 con esecuzione remota di codice¹.

“Gli avversari stanno chiaramente spendendo tempo, e token, su questo bug”, ha detto Spencer McIntyre, director of exploit development di VulnCheck, a The Register¹. Secondo l’azienda, l’Address Space Layout Randomization non basta a fermare il loro metodo sul perimetro esaminato. Finora proprio l’ASLR aveva reso difficile portare fuori dai laboratori lo sfruttamento di PHP2Shell su sistemi reali¹.

L’exploit non è pubblico. VulnCheck lo fornisce ai soli clienti del servizio Initial Access Intelligence¹. La società segnala anche che gruppi ostili usano strumenti di intelligenza artificiale per cercare nuove vie di attacco sulle stesse falle¹.

Il bersaglio principale è CVE-2026-109618, descritto come un bug critico di corruzione out-of-memory che porta a esecuzione remota di codice in PHP. Insieme a CVE-2026-109619 compone la coppia indicata come PHP2Shell. La PHP Foundation ha rilasciato patch ufficiali per entrambe le vulnerabilità, comunicate mercoledì secondo The Register¹.

Il quadro operativo si è complicato il giorno successivo, con segnalazioni di tentativi di abuso iniziati prima della divulgazione ufficiale. Nella stessa giornata, alcuni siti del governo del Regno Unito sono stati spenti in via preventiva¹.

Il punto tecnico è chiaro: c’è una strada per oltrepassare la randomizzazione dello spazio degli indirizzi su architetture x86-64, almeno nel contesto mostrato da VulnCheck. La dimostrazione indica un percorso concreto per sfruttare PHP2Shell nonostante questa protezione. L’azienda valuta il risultato come un passo avanti rispetto agli ostacoli incontrati su server reali¹.

Elementi chiave, in sintesi, senza ripetizioni: esiste un exploit in grado di aggirare l’ASLR su x86-64 per PHP2Shell, non è pubblico ed è disponibile solo ai clienti Initial Access Intelligence; le vulnerabilità coinvolte sono CVE-2026-109618 e CVE-2026-109619, note collettivamente come PHP2Shell; la PHP Foundation ha reso disponibili patch ufficiali; sono emerse segnalazioni di sfruttamento antecedenti alla disclosure e un intervento precauzionale su siti governativi del Regno Unito¹.

Resta un margine operativo: le patch sono uscite, ma il confronto tra difese e tentativi di sfruttamento prosegue in parallelo. La combinazione di un exploit funzionante in mano a pochi e la ricerca automatizzata da parte di attori ostili suggerisce che la finestra per mitigare l’esposizione dipenda dalla rapidità con cui gli ambienti applicano le correzioni già pubblicate. In assenza di ulteriori dettagli tecnici resi pubblici da VulnCheck, la priorità si sposta su inventario dei sistemi e verifica della presenza delle versioni corrette di PHP indicate nelle comunicazioni ufficiali, come riportato da The Register¹.