Эксплойт PHP2Shell обходит ASLR и даёт RCE на серверах с PHP 8.4.26

VulnCheck разработала первый публично известный эксплойт для уязвимости PHP2Shell (CVE-2026-109618), который обходит ASLR и добивается удалённого выполнения кода на x86-64 серверах с рекомендованной производственной конфигурацией PHP 8.4.26. Эксплойт доступен только клиентам Initial Access Intelligence; на ARM64 RCE пока не работает.

• Эксплойт использует утечку памяти и цепочку до RCE в PHP 8.4.26
• Работает при включённом ASLR и display_errors=off
• На ARM64 эксплойт пока не выполняет код
• Патчи для CVE-2026-109618 и CVE-2026-109619 вышли в среду