De PHP2Shell-lekken waardoor woensdag veel websites preventief offline gingen, deden mogelijk al langer de ronde. Amazon zag op 17 oktober al pogingen om de lekken te misbruiken, vier dagen voordat ze bekend werden gemaakt.
Amazon Threat Intelligence identificeerde op zaterdag 17 oktober een PHP2Shell-exploitpoging met zijn beveiligingstool MadPot. Dat liet het bedrijf donderdag weten in een persbericht.
De poging was afkomstig van een IP-adres dat wordt gekoppeld aan een commercieel 'anonimiseringsnetwerk'. Volgens Amazon wijst zo'n aanval via een geanonimiseerd IP-adres op een threat actor. Dat is een persoon, groep of organisatie die probeert kwetsbaarheden uit te buiten om schade aan te richten.
Op het moment van de exploitpoging waren de lekken nog onder embargo. Hoe de aanvaller de kwetsbaarheden vroegtijdig ontdekte, is niet bekend.
Op woensdag zag Amazon verschillende andere pogingen om de lekken uit te buiten. De payloads en gebruikte infrastructuur verschilden steeds, wat suggereert dat meerdere partijen probeerden PHP2Shell uit te buiten.
Nadat PHP de patches woensdagmiddag publiceerde, verschenen binnen enkele uren nog meer proof-of-concepts om de kwetsbaarheden uit te buiten. Inmiddels wordt PHP2Shell 'grootschalig misbruikt' in het wild, aldus Amazon. Het bedrijf raadt gebruikers daarom aan om zo snel mogelijk te updaten.
PHP is een veelzijdige scriptingtaal die dynamische webpagina's kan aanmaken. Wereldwijd gebruikt 69,3 procent van alle websites PHP. PHP vormt de basis voor het veelgebruikte WordPress en zit ook in Joomla, Drupal, Magento en andere websoftware.
De impact van de kwetsbaarheden was daarom groot. Verschillende diensten en websites gingen uit voorzorg offline in afwachting van patches, waaronder Tweakers. We schreven woensdag een achtergrondverhaal over PHP, de PHP2Shell-kwetsbaarheden en de gevolgen ervan.
Source: Tweakers.net