Mirai implementerer PHP exploits og PHP varsler endnu en sårbarhed

Desværre fik jeg ret i de rygter som jeg havde hørt umiddelbart efter frigivelsen af sikkerhedsopdateringerne til PHP i onsdags, der lappede to alvorlige RCE fejl. Men heldigvis kunne det have været meget værre og endnu mere alvorligt. Denne her rammer kun meget få og særlige PHP installationer.  

PHP har postet en ny anbefaling der vedrører PHP konfigureret på en særlig måde. Denne gang frigives der IKKE en haste-opdatering, men rådet fra PHP går på at deaktivere funktionen "session upload progress". Fejlen har fået tildelt CVE-ID: CVE-2026-115560.

Som det fremgår fra PHP er det en helt særlig kombination af konfigurationsændringer under PHP der skal være tilstede:

"The issue can only occur under an unusual combination of configuration and application code. An application must set session.serialize_handler to php_binary or php_serialize in its configuration and then switch it to php at runtime with ini_set() before calling session_start(). Session upload progress must also still be enabled. Applications that never change the serialize handler at runtime can keep the feature enabled. Since this setup is unlikely in practice, we are handling it in the regular release cycle and will publish a full advisory for CVE-2026-115560 with the next release."

Endnu ingen dokumenterede kompromitteringer som følge af PHP2Shell
Vi ved nu at trusselaktører er gået ind i næste fase af at udvikle stabil exploit kode mod CVE-2026-109618 og CVE-2026-109619. Det vil formentlig blive rettet mod populære sårbare PHP implementeringer, hvor man kan udløse arbitrær kodekørsel og derved kompromittere webservere som forsat ikke er blevet patchet.

Mirai variant har implementeret PHP exploitkode
En nyere variant af Mirai har implementeret de to PHP exploits, men udnyttelse er IKKE succesfuld for nuværende. Men det larmer og larmen tager til.

Hvad er Mirai?
https://malpedia.caad.fkie.fraunhofer.de/details/elf.mirai

Den pågældende Mirai orm, som er i "potassium" klassen, og som også misbruger andre sårbarheder (Next.js RSC exploit (CVE-2025-55182)), henter payloads fra (saniteret)

92.118.112[.]100/nfs
PHP exploit fra (saniteret)
85.11.167[.]243
--> https://92.118.112[.]100/s

C&Cs (saniteret)
thunder.godofthunder[.]st
hackattackkaboom.botlesscucks[.]st
hik.gettingheadfromduckysmom[.]st

Serverne er hostet i Australien. Al trafik til disse C&Cs bør undersøges med det samme.

Denne variant har et spøjst output: "is creepy here". 

Et skærmdump af den udpakkede hovedkomponent findes herunder:

Mere følger ...