Η αρχιτεκτονική των προσπαθειών επίθεσης και τα τεχνικά εμπόδια
Μετά τη δημοσιοποίηση των κρίσιμων ευπαθειών στην PHP (CVE-2026-109618 και CVE-2026-109619), γνωστών ως PHP2Shell, η ερευνητική κοινότητα κατέγραψε κύμα σαρώσεων και προσπαθειών εκμετάλλευσης. Ωστόσο, η ανάλυση της τηλεμετρίας δείχνει ότι τα περισσότερα open source exploit kits αποτυγχάνουν να φέρουν εις πέρας την πλήρη αλυσίδα επίθεσης (end-to-end exploit chain) σε τυπικά περιβάλλοντα παραγωγής.
Τα εργαλεία αυτά βασίζονται σε δύο βασικά στάδια. Στο πρώτο στάδιο (Stage A1), αποστέλλονται τεράστια multipart αιτήματα με σκοπό την πρόκληση εξάντλησης μνήμης (memory exhaustion) κατά τη διαχείριση των συνεδριών (sessions), αφήνοντας τα δεδομένα σε αποκαλούμενη κατάσταση φθartής μνήμης. Σύμφωνα με τα ευρήματα της Wiz, ενώ το στάδιο αυτό συχνά προκαλεί σφάλματα HTTP 500 και επιτυγχάνει την επιθυμητή εξάντληση, το επόμενο κρίσιμο βήμα αποτυγχάνει.
Η αποτυχία της διαρροής μνήμης και του worker pinning
Το δεύτερο στάδιο (Stage B1) επιχειρεί να διαρρεύσει κρίσιμες διευθύνσεις μνήμης της heap και του libphp μέσω των cookies απόκρισης. Για να πετύχει αυτή η διαδικασία, τα διαδοχικά αιτήματα του exploit πρέπει να καταλήξουν ακριβώς στην ίδια διεργασία-παιδί (Apache child process). Σε πραγματικές συνθήκες, η καθυστέρηση δικτύου (network latency), τα χρονικά όρια λήξης (timeouts) και η διαθεσιμότητα των workers διαταράσσουν την απαιτούμενη ακολουθία.
Επιπλέον, οι διαφορές στις εκδόσεις της PHP, τα μεταβαλλόμενα όρια μνήμης (όπως η αλλαγή από τα 128 MB του προτύπου στα 64 MB σε πραγματικές εφαρμογές όπως το Roundcube) και οι πρόσθετες επεκτάσεις μεταβάλλουν τη διάταξη της μνήμης (heap layout). Αυτό εξηγεί γιατί τα αυτοματοποιημένα scripts που λειτουργούν σε ελεγχόμενα honeypots αποτυγχάνουν απέναντι σε διαφορετικές αρχιτεκτονικές διαμορφώσεις.
Τάσεις αποκατάστασης και ψευδεπίγραφοι μηχανισμοί
Παρά τις τεχνικές δυσκολίες των επιτιθέμενων, οι οργανισμοί αντέδρασαν γρήγορα. Τα στοιχεία δείχνουν μείωση κατά 47.9% των επηρεαζόμενων οργανισμών και πτώση 67% των συνολικά εκτεθειμένων μηχανών μέσα σε λίγες ημέρες, μέσω αναβαθμίσεων, εφαρμογής patches και περιορισμού της πρόσβασης στο διαδίκτυο.
Αξιοσημείωτο είναι επίσης το γεγονός ότι ορισμένα εργαλεία που κυκλοφόρησαν με την ετικέτα του PHP2Shell δεν αξιοποιούσαν τις νέες ευπάθειες, αλλά βασίζονταν σε κλασικές τεχνικές session poisoning μέσω του upload-progress, απαιτώντας παράλληλα ξεχωριστό, προϋπάρχον σημείο τοπικής συμπερίληψης αρχείων (LFI) στην εφαρμογή-στόχο.