- Adel Karimi于10月24日在三个蜜罐上记录了35个启动的Shell。
- Recorded Future表示PHP于10月21日发布了修复版本8.2.35、8.3.36、8.4.27和8.5.12。
- SecurityWeek报道称，漏洞利用尝试在修复程序发布前就已开始，此后记录数量已达数百万。
SecurityWeek报道称，漏洞利用尝试在修复程序发布前就已开始，而当时安全公司尚未确认成功执行代码。
攻击链在执行前使用了四个阶段
观察到的请求使用了四阶段multipart链，有时会重试：内存压力、通过超大PHPSESSID泄露内存、进一步施加内存压力，以及针对目标调整的执行阶段。
蜜罐证据显示，三个PHP目标上35个执行阶段的HTTPPOST请求，与35个由Apache工作进程直接派生的Shell相关联。
PHP2Shell影响常见网站部署中的PHP
SecurityWeek表示，PHP2Shell漏洞的编号为CVE-2026-109618和CVE-2026-109619，并可实现未经身份验证的远程代码执行。
研究人员将漏洞与PHP2Shell活动联系起来
Recorded Future表示，Wiz Research与Calif和OpenAI发现了这些漏洞，并于8月向PHP报告。PHP2Shell这一名称源于该研究。
Infosecurity Magazine报道称，Amazon威胁情报公开确认，其于10月17日在MadPot蜜罐系统中观察到一次PHP2Shell漏洞利用尝试。
Palo Alto Networks Unit 42表示无法确认初始访问与具体PHP2Shell CVE有关，并于10月25日更新简报，撤回其10月23日的更新。
CISA表示，截至其10月23日发布报告时，尚未观察到野外成功利用。Adel Karimi随后于10月24日记录了Shell启动。
防守方现在要做什么
- 立即将PHP更新到8.5.12、8.4.27、8.3.36或8.2.35版本。
常见问题
PHP2Shell攻击中发生了什么？
Adel Karimi于10月24日在三个蜜罐上记录了35个启动的Shell。蜜罐证据显示，35个执行阶段的HTTPPOST请求与35个由Apache工作进程直接派生的Shell相关联。
哪些PHP版本受PHP2Shell影响？
Recorded Future表示PHP于10月21日发布了修复版本8.2.35、8.3.36、8.4.27和8.5.12。
PHP2Shell的CVE编号是什么？
SecurityWeek表示，这些漏洞的编号为CVE-2026-109618和CVE-2026-109619。
PHP2Shell是否已被利用？
Adel Karimi于10月24日在三个蜜罐上记录了Shell。CISA表示，截至其10月23日发布报告时，尚未观察到野外成功利用。
如何修复PHP2Shell？
CISA将PHP 8.5.12、8.4.27、8.3.36和8.2.35列为更新目标。
PHP2Shell攻击链如何运作？
观察到的请求使用了内存压力、通过超大PHPSESSID泄露内存、进一步施加内存压力，以及针对目标调整的执行阶段。
来源
- Critical Vulnerabilities in PHP Require Immediate Patching | CISA, CISA原始文件
- honeypot-data/reports/php2shell/2026-10-24-confirmed-rce.md at main · 0x4D31/honeypot-data, GitHub原始文件
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 25), Palo Alto Networks Unit 42原始文件
- PHP2Shell Exploitation Moves From Probes to Working Shells, SecurityWeek
- PHP2Shell Exploitation Attempts Continue Amid Suspected N. Korea Global Scanning Activity, The Hacker News
- PHP2Shell Exploitation: Two Critical PHP Flaws Explained, Recorded Future
- PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Vulnerability Disclosure, Infosecurity Magazine
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| SecurityWeek报道称，攻击者成功利用PHP2Shell在蜜罐服务器上运行Shell命令。 | SecurityWeek | 引述 |
| SecurityWeek表示，PHP2Shell漏洞的编号为CVE-2026-109618和CVE-2026-109619，并可实现未经身份验证的远程代码执行。 | SecurityWeek | 引述 |
| SecurityWeek报道称，漏洞利用尝试在修复程序发布前就已开始，此后记录数量已达数百万。 | SecurityWeek | 引述 |
| Adel Karimi于10月24日在三个蜜罐上记录了35个启动的Shell。 | Adel Karimi, via SecurityWeek | 引述 |
| 蜜罐证据显示，三个PHP目标上35个执行阶段的HTTPPOST请求，与35个由Apache工作进程直接派生的Shell相关联。 | 0x4D31, via GitHub | 已证实 |
| 观察到的请求使用了包含内存压力、内存泄露、进一步施加内存压力和执行的四阶段链。 | 0x4D31, via GitHub | 已证实 |
| Recorded Future表示PHP于10月21日发布了修复版本8.2.35、8.3.36、8.4.27和8.5.12。 | Recorded Future | 引述 |
| Recorded Future报道称，Wiz与Calif和OpenAI发现了这些漏洞，并于8月向PHP报告。 | Recorded Future | 引述 |
| CYFIRMA表示，The Hacker News报道称，一个疑似与朝鲜有关联的活动正从21个已被入侵的节点探测全球PHP基础设施。 | CYFIRMA, via The Hacker News | 引述 |
| CISA表示，截至其发布时，尚未观察到野外成功利用。 | CISA | 已证实 |
| Unit 42表示，其研究人员最初认为，针对某欧洲政府机构的入侵后活动涉及PHP2Shell利用，随后撤回了该评估。 | Palo Alto Networks Unit 42 | 已证实 |
| Unit 42表示，无法确认该欧洲机构的初始访问涉及具体的PHP2Shell CVE。 | Palo Alto Networks Unit 42 | 已证实 |
| Unit 42称，CVE-2026-109618涉及内存不足错误后的未初始化请求内存，使攻击者能够实现远程代码执行。 | Palo Alto Networks Unit 42 | 已证实 |
| Cortex Xpanse根据Palo Alto Networks遥测数据，识别出超过2260万个可能易受攻击的暴露实例。 | Palo Alto Networks Unit 42 | 已证实 |
| Palo Alto Networks表示，自10月20日起，Advanced Threat Prevention Plus with Frontier Virtual Patching已保护客户免受这些漏洞影响。 | Palo Alto Networks | 已证实 |
| Palo Alto Networks表示，Advanced Threat Prevention通过签名543004、97622、97623、97624和97625提供防护。 | Palo Alto Networks | 已证实 |
| Unit 42于10月25日更新其威胁简报，撤回其10月23日的更新。 | Palo Alto Networks Unit 42 | 已证实 |
| CISA于2026年10月23日发布报告。 | CISA | 已证实 |
| unit42.paloaltonetworks.com于2026年10月23日发布报告。 | unit42.paloaltonetworks.com | 已证实 |
未能核实
- 这35个已确认的Shell是否影响生产系统，尚未确定
- 所报告的漏洞利用尝试是否入侵了现实世界的系统，尚未确定
- 两个已确认的源地址事件是否由同一攻击者实施，尚未确定
- 面向互联网的PHP系统中实际存在漏洞或遭到入侵的数量，尚未确定
