PHP2Shell (CVE-2026-109618/109619) : artefact Velociraptor YARA pour détecter l'exploitation in-the-wild
🔍 Contexte Publié le 27 octobre 2026 sur l’Artifact Exchange de Velociraptor, cet artefact (Generic.Detection.Yara.PHP2Shell) est signé par Matt Green (@mgreen27). Il vise à détecter l’exploitation active des vulnérabilités CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, permettant une exécution de code à distance (RCE) via PHP. ⚙️ Mécanisme d’exploitation La chaîne d’exploitation se déroule en plusieurs étapes documentées : A1 – Heap pressure : envoi de requêtes multipart upload-progress avec une query string spécifique (?q0000000=v...q0000004=v) pour provoquer un OOM pré-script B1 – Disclosure : fuite de mémoire heap via le cookie PHPSESSID (819 200 B pour le PoC 9bie, 16/256 B pour StealMyBitcoin) A2 – Heap pressure : multipart à longueur fixe pour un second OOM B2 – Execution : déclenchement d’un faux destructeur zend_array → system() → /bin/sh ou cmd.exe Pinning : maintien de N-1 workers pré-fork via exploit.py --workers 🧰 Sources et PoCs Les règles YARA sont construites à partir de : ...