PHP2Shell补丁前现利用尝试 百万PHP服务器未修复

资讯专家

漏洞与时间线
Amazon报告称，攻击者在PHP2Shell相关补丁发布前四天开始探测受影响服务器。PHP2Shell指两个严重远程代码执行漏洞，编号为CVE-2026-109618和CVE-2026-109619。PHP基金会与行业伙伴花费数周构建、验证和确认补丁，修复于10月21日发布；10月20日两个漏洞被泄露到网上，加速了PoC利用代码传播。

利用活动
Amazon称，首次PHP2Shell利用尝试发生在10月17日，当时漏洞仍处于禁运期，流量来自商业匿名化网络。其针对蜜罐的匿名IP活动表明由威胁行为者发起，但目前不清楚攻击者如何在披露前获得利用信息。公开披露约12小时前，Amazon又发现来自其他匿名基础设施的多个PHP2Shell PoC，载荷和来源存在差异，说明多个威胁行为者正在参与。补丁发布后数小时内出现更多PoC，并几乎立即被用于攻击其传感器；Amazon称PHP2Shell正在野外被广泛利用。

WatchTowr也在补丁发布后不久观察到大规模利用尝试，但表示当前流传的PoC均未实现RCE。WatchTowr威胁情报负责人Jake Knott称，这符合可预期的链条：粗糙的PoC代码被发到Twitter并扔上GitHub，喷洒式利用要么完全无效，要么只测试基于时间的差异，要么导致目标崩溃。Hadrian、Patchstack和Cloudflare均报告在修复发布前数小时看到利用尝试。Cloudflare CEO Matthew Prince称，公开宣布前10小时，Cloudflare网络看到数千次利用尝试；宣布后45分钟增至数万次，2小时内达数十万次，目前为数百万次。JFrog还观察到GitHub上出现假PoC和恶作剧恶意软件。VulnCheck称，至少一个中国IP地址曾尝试利用PHP2Shell部署webshell，但未成功。在披露前阶段，多个组织观察到相关活动时表示，利用尝试未成功。

暴露面与修复
VulnCheck、VirusTotal和Censys称，截至10月21日，超过100万台PHP服务器运行未修补版本。Censys称，10月21日观测到258万台互联网面主机，其中约158万台报告了可识别的PHP版本，约157万台未修补；截至10月22日，该平台跟踪近300万台运行PHP的互联网面主机。VulnCheck看到超过260万台互联网面PHP主机，几乎全部易受攻击；至少100万台运行已停止支持（EoL）的PHP版本，其中70多万台为PHP 3.x至7.3，近40万台为PHP 7.4、8.0或8.1。VirusTotal称约510万个IP地址运行PHP，但只有110万个在HTTP头中声明版本；其中约27.2万个运行受支持版本，多数约75.8万个运行EoL版本（PHP 5.4至8.1）。这些PHP主机多数（约92万台）位于美国，并集中在AWS、DigitalOcean、Alibaba、OVHcloud和Hetzner等少数提供商，修复可涉及简单的配置推送和WAF规则。

CISA敦促组织立即更新至PHP 8.5.12、8.4.27、8.3.36或8.2.35，这些版本包含对两个PHP2Shell漏洞的修复。

处置建议
BlueVoyant CISO John Harbaugh称，组织快速修补会很困难，更难的问题在于找全所有需要修补的系统；此类事件会暴露被遗忘的应用、影子系统以及网络所有者可能不知道存在的PHP安装。ThreatLocker联合创始人兼CTO Michael Jenkins称，在某些配置下，漏洞可在安全检查运行前被用于执行代码，所有利益相关者应立即应用紧急更新并开始调查入侵迹象；在每台系统修补前，限制Web面进程可启动、访问或连接对象的控制措施能减少攻击者选项，但这些控制是后备而非补丁替代，修补后也应保留。PHP进程通常只需要访问运行站点所需的文件和网络服务，限制其他访问有助于防止失陷Web服务器成为进入更广业务的入口。

Forescout威胁狩猎高级经理Sai Molige和Expel首席威胁研究员Marcus Hutchins将PHP2Shell与Log4Shell相比较。Molige称，PHP2Shell有潜力成为Log4Shell规模的事件，但原因不同：Log4j的主要问题是找到未知库，而PHP中大量被遗忘的基础设施会被发现，却没有上游修复；Log4j的持久教训是，组织应把“多快能识别X运行在哪里”作为独立于修补速度的可衡量能力。Hutchins称，PHP2Shell大约达到Log4J影响的50%，影响范围广、直接利用更严重，但由于不像Log4J那样深嵌第三方软件，间接利用的尾部更短。