- Adel Karimi於10月24日記錄到在3個蜜罐啟動的35個Shell。
- Recorded Future表示PHP於10月21日發布修補版本8.2.35、8.3.36、8.4.27及8.5.12。
- SecurityWeek報道，攻擊者在修補程式發布前已開始嘗試利用漏洞，而自此已有數以百萬計個案例被記錄。
SecurityWeek報道，攻擊者在修補程式發布前已開始嘗試利用漏洞，但當時保安公司尚未確認成功執行程式碼。
攻擊鏈在執行前分為4個階段
觀察到的請求採用4階段多部分攻擊鏈，有時會重試：記憶體壓力、透過過大的PHPSESSID披露記憶體、進一步施加記憶體壓力，以及按目標調整的執行階段。
蜜罐證據顯示，3個PHP目標中，35個執行階段HTTP POST請求與35個由Apache工作程序直接衍生的Shell相互吻合。
PHP2Shell影響常見網站部署中的PHP
SecurityWeek表示，PHP2Shell漏洞的編號為CVE-2026-109618及CVE-2026-109619，容許未經身份驗證的遠程程式碼執行。
研究人員將漏洞與PHP2Shell活動連繫
Recorded Future表示，Wiz Research與Calif及OpenAI發現漏洞，並於8月向PHP報告。PHP2Shell這個名稱源自該項研究。
Infosecurity Magazine報道，Amazon Threat Intelligence公開確認，於10月17日在其MadPot蜜罐系統觀察到一次PHP2Shell利用嘗試。
Palo Alto Networks Unit 42表示無法確認初始入侵與特定PHP2Shell CVE有關，並於10月25日更新簡報，撤回其10月23日的更新。
CISA表示，截至10月23日發布報告時，未有在野外觀察到成功利用漏洞的情況。Adel Karimi其後於10月24日記錄到Shell啟動。
防守方現在要做甚麼
- 立即將PHP更新至8.5.12、8.4.27、8.3.36或8.2.35版本。
常見問題
PHP2Shell攻擊發生了甚麼事？
Adel Karimi於10月24日記錄到在3個蜜罐啟動的35個Shell。蜜罐證據顯示，35個執行階段HTTP POST請求與35個由Apache工作程序直接衍生的Shell相互吻合。
哪些PHP版本受PHP2Shell影響？
Recorded Future表示PHP於10月21日發布修補版本8.2.35、8.3.36、8.4.27及8.5.12。
PHP2Shell的CVE編號是甚麼？
SecurityWeek表示，漏洞的編號為CVE-2026-109618及CVE-2026-109619。
PHP2Shell是否已被利用？
Adel Karimi於10月24日在3個蜜罐記錄到Shell。CISA表示，截至10月23日發布報告時，未有在野外觀察到成功利用漏洞的情況。
如何修復PHP2Shell？
CISA列出PHP 8.5.12、8.4.27、8.3.36及8.2.35為更新目標。
PHP2Shell攻擊鏈如何運作？
觀察到的請求採用記憶體壓力、透過過大的PHPSESSID披露記憶體、進一步施加記憶體壓力，以及按目標調整的執行階段。
來源
- Critical Vulnerabilities in PHP Require Immediate Patching | CISA, CISA原始文件
- honeypot-data/reports/php2shell/2026-10-24-confirmed-rce.md at main · 0x4D31/honeypot-data, GitHub原始文件
- Threat Brief: Critical Vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 (Updated October 25), Palo Alto Networks Unit 42原始文件
- PHP2Shell Exploitation Moves From Probes to Working Shells, SecurityWeek
- PHP2Shell Exploitation Attempts Continue Amid Suspected N. Korea Global Scanning Activity, The Hacker News
- PHP2Shell Exploitation: Two Critical PHP Flaws Explained, Recorded Future
- PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Vulnerability Disclosure, Infosecurity Magazine
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| SecurityWeek報道，攻擊者成功利用PHP2Shell在蜜罐伺服器執行Shell指令。 | SecurityWeek | 引述 |
| SecurityWeek表示，PHP2Shell漏洞的編號為CVE-2026-109618及CVE-2026-109619，容許未經身份驗證的遠程程式碼執行。 | SecurityWeek | 引述 |
| SecurityWeek報道，攻擊者在修補程式發布前已開始嘗試利用漏洞，而自此已有數以百萬計個案例被記錄。 | SecurityWeek | 引述 |
| Adel Karimi於10月24日記錄到在3個蜜罐啟動的35個Shell。 | Adel Karimi, via SecurityWeek | 引述 |
| 蜜罐證據顯示，3個PHP目標中，35個執行階段HTTP POST請求與35個由Apache工作程序直接衍生的Shell相互吻合。 | 0x4D31, via GitHub | 已證實 |
| 觀察到的請求採用涉及記憶體壓力、記憶體披露、進一步記憶體壓力及執行的4階段攻擊鏈。 | 0x4D31, via GitHub | 已證實 |
| Recorded Future表示PHP於10月21日發布修補版本8.2.35、8.3.36、8.4.27及8.5.12。 | Recorded Future | 引述 |
| Recorded Future報道，Wiz與Calif及OpenAI發現漏洞，並於8月向PHP報告。 | Recorded Future | 引述 |
| CYFIRMA表示，The Hacker News報道一場疑似與北韓有關的行動正透過21個遭入侵節點探測全球PHP基礎設施。 | CYFIRMA, via The Hacker News | 引述 |
| CISA表示，在其發布報告時未有在野外觀察到成功利用漏洞的情況。 | CISA | 已證實 |
| Unit 42表示，其研究人員最初認為針對一間歐洲政府機構的入侵後活動涉及PHP2Shell利用，其後撤回該評估。 | Palo Alto Networks Unit 42 | 已證實 |
| Unit 42表示，無法確認該歐洲機構的初始入侵涉及特定PHP2Shell CVE。 | Palo Alto Networks Unit 42 | 已證實 |
| Unit 42形容CVE-2026-109618涉及記憶體耗盡錯誤後未初始化的請求記憶體，令攻擊者可實現遠程程式碼執行。 | Palo Alto Networks Unit 42 | 已證實 |
| Cortex Xpanse根據Palo Alto Networks遙測資料，識別出超過2,260萬個可能受漏洞影響的暴露實例。 | Palo Alto Networks Unit 42 | 已證實 |
| Palo Alto Networks表示，自10月20日起，Advanced Threat Prevention Plus配合Frontier Virtual Patching一直保護客戶免受漏洞影響。 | Palo Alto Networks | 已證實 |
| Palo Alto Networks表示，Advanced Threat Prevention透過簽名543004、97622、97623、97624及97625提供防護。 | Palo Alto Networks | 已證實 |
| Unit 42於10月25日更新威脅簡報，撤回其10月23日的更新。 | Palo Alto Networks Unit 42 | 已證實 |
| CISA於2026年10月23日發布報告。 | CISA | 已證實 |
| unit42.paloaltonetworks.com於2026年10月23日發布報告。 | unit42.paloaltonetworks.com | 已證實 |
未能核實
- 35個已確認的Shell是否影響生產系統，尚未確定
- 所報道的利用嘗試是否令現實世界的系統遭入侵，尚未確定
- 兩宗已確認的來源地址事件是否由同一名攻擊者操控，尚未確定
- 實際有多少個面向互聯網的PHP系統易受攻擊或已遭入侵，尚未確定
