https://cyberveille.ch/tags/php2shell-bypass-aslr-exp/ Recent content in Php2shell-Bypass-Aslr-Exp on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-php2shell-cve-2026-109618-109619-artefact-velociraptor-yara-pour-detecter-l-exploitation-in-the-wild/ Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-php2shell-cve-2026-109618-109619-artefact-velociraptor-yara-pour-detecter-l-exploitation-in-the-wild/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 27 octobre 2026 sur l&rsquo;Artifact Exchange de Velociraptor, cet artefact (<code>Generic.Detection.Yara.PHP2Shell</code>) est signé par Matt Green (@mgreen27). Il vise à détecter l&rsquo;exploitation active des vulnérabilités <strong>CVE-2026-109618</strong> et <strong>CVE-2026-109619</strong>, regroupées sous le nom <strong>PHP2Shell</strong>, permettant une exécution de code à distance (RCE) via PHP.</p> <h2 id="-mécanisme-dexploitation">⚙️ Mécanisme d&rsquo;exploitation</h2> <p>La chaîne d&rsquo;exploitation se déroule en plusieurs étapes documentées :</p> <ul> <li><strong>A1 – Heap pressure</strong> : envoi de requêtes multipart upload-progress avec une query string spécifique (<code>?q0000000=v...q0000004=v</code>) pour provoquer un OOM pré-script</li> <li><strong>B1 – Disclosure</strong> : fuite de mémoire heap via le cookie <code>PHPSESSID</code> (819 200 B pour le PoC 9bie, 16/256 B pour StealMyBitcoin)</li> <li><strong>A2 – Heap pressure</strong> : multipart à longueur fixe pour un second OOM</li> <li><strong>B2 – Execution</strong> : déclenchement d&rsquo;un faux destructeur <code>zend_array</code> → <code>system()</code> → <code>/bin/sh</code> ou <code>cmd.exe</code></li> <li><strong>Pinning</strong> : maintien de N-1 workers pré-fork via <code>exploit.py --workers</code></li> </ul> <h2 id="-sources-et-pocs">🧰 Sources et PoCs</h2> <p>Les règles YARA sont construites à partir de :</p>