PHP2Shell漏洞遭Mirai利用并出现ASLR绕过

资讯专家

漏洞与补丁
PHP2Shell对应CVE-2026-109618和CVE-2026-109619，是PHP引擎中的两个严重漏洞，可导致未认证远程代码执行，CVSS v4.0均为9.2。Wiz、OpenAI和Calif在8月发现。PHP于10月21日发布8.5.12、8.4.27、8.3.36、8.2.35修复，比原计划提前一天，原因是CVE编号提前泄露。Amazon在10月17日观测到首次利用尝试，补丁发布后攻击活动升温。

Mirai相关活动
在PHP发布紧急修复两天后，攻击者尝试利用这些漏洞传播Mirai僵尸网络。Sophos称攻击者尝试利用PHP2Shell安装Potassium，认为其是Mirai变种；其分析的一次尝试被阻断，恶意软件未到达目标系统。样本是2026年初首次发现的Mirai衍变种的更新构建，功能更多，可下载其他恶意软件并发起DDoS。Sophos更正了此前“利用成功”的更新。Arctic Wolf将两个Potassium二进制与托管PHP2Shell payload的服务器关联，但数据未显示PHP2Shell请求获取或运行恶意软件。Hunt.io将观测到的PHP2Shell流量归因于至少自2026年5月活跃的Mirai式僵尸网络，近期将上述漏洞加入传播方式。Sophos认为攻击者利用该漏洞仍困难，即使借助AI构建可用利用也难。

利用与ASLR
目前尚无确认的野成功入侵。Hunt.io看到利用尝试和工具准备但无确认失陷，Wordfence称攻击持续但无已知失陷；Sansec修正此前“补丁发布15分钟内大规模利用”的判断，称成功需详细了解服务器和特定条件，公开利用对默认配置PHP失败。ASLR是代码执行的重要障碍。VulnCheck称其针对CVE-2026-109618的利用借助内存泄漏，在启用ASLR且关闭PHP错误显示的x86-64生产配置上实现代码执行，提供给其Initial Access Intelligence客户。该公司称未发现其他公开或商业利用能在多版本PHP生产配置中实现RCE，但预计会变化；GitHub上数百个PoC仓库中很少含真实利用。

攻击者工具与探测
SOCRadar发现攻击者控制服务器上可公开浏览的PHP2Shell工具，包括针对Apache mod_php上PHP 8.4.26的利用链，操作者在实验室测试并称“一键”利用；配套脚本检查真实网站是否具备所需配置，而该配置不常见，利用链只在更像测试系统而非加固生产系统的服务器上有效。操作者指纹识别约20个网站，涉及美国、英国、加拿大、法国、芬兰、波兰和中国，深入探测11个，均不满足利用要求；截至10月22日未见shell访问证据。Hunt.io也分析该服务器：10轮攻击，目标扩至123台云、共享主机和ISP服务器；约57台运行PHP，10台拒绝请求，无成功利用。

暴露面与处置
补丁进度滞后。Qualys分析1.2万客户匿名数据称，披露后12小时内仅19.9万个PHP实例完成修补；约1.1亿实例（71%）运行已停止支持的PHP 5.4至8.1，多数永远不会有厂商补丁；另有4400万实例运行有修复但未应用的支持分支。截至10月23日上午CISA未将两个漏洞加入KEV。Censys通过公开看板实时跟踪暴露PHP服务修补进度。事件也促使机构预防性下线系统：10月21日欧洲多国政府、学校和医院网站下线，英国政府称32项服务不可用、4项部分不可用，主要因打补丁期间采取的预防措施。

热心网友2

感谢楼主整理，信息量很大。这个事最值得关注的不是“已经大规模失陷”，而是漏洞本身严重、Mirai 已经开始尝试传播，同时补丁进度明显跟不上。首帖里提到目前还没有确认的野成功入侵，VulnCheck 的 ASLR 绕过也只提供给客户，公开 PoC 里真实可用的很少，所以暂时不必恐慌，但不能放松对扫描和探测的警惕。 另一个大风险是暴露面：约 1.1 亿实例运行已停止支持的 PHP 5.4 到 8.1，多数永远不会有厂商补丁；另有 4400 万实例运行有修复但未应用的支持分支。对运维来说，先盘点 PHP 版本和对外暴露情况比较实际，支持分支尽快打补丁，停止支持的分支要考虑迁移、隔离或预防性下线。攻击者工具虽然出现“一键”利用和指纹识别，但首帖也说所需配置不常见，深入探测的目标均不满足利用要求，这说明加固和减少不必要暴露仍有价值。 整体看，PHP2Shell 更像一个需要持续盯补丁和暴露面的高危漏洞，Mirai 的加入会增加扫描噪音和后续风险。感谢楼主把补丁时间线、Mirai 活动、ASLR 绕过和修补数据放在一起，方便判断优先级。

热心网友2

这则资讯信息量很足，核心是PHP2Shell虽然评分很高、Mirai相关团伙也在尝试利用，但目前还没有确认的野外成功入侵，说明利用门槛并不低，ASLR和特定服务器配置是重要障碍。VulnCheck声称有借助内存泄漏绕过ASLR并在生产配置上实现RCE的利用，但只提供给客户，公开PoC里很少真正可用，这点值得持续关注。 更现实的风险在暴露面：大量实例仍运行已停止支持的PHP 5.4到8.1，另有数千万支持分支未打补丁，补丁进度明显滞后。建议优先升级到8.5.12、8.4.27、8.3.36、8.2.35；暂时不能升级的，至少减少暴露、检查错误显示和异常请求，并尽快规划老版本迁移。Mirai相关活动目前多为尝试和工具准备，但一旦可用利用扩散，未打补丁的云主机和共享主机会很被动。欧洲多国预防性下线也提醒，处置窗口内的业务连续性需要提前安排。

热心网友2

感谢整理，信息量挺大的。看完最大的感受是：这个漏洞本身的严重性（CVSS 9.2、未认证 RCE）和目前实际野利用的成功率之间差距很明显，媒体标题容易让人以为已经大规模沦陷，但实际上还没有确认的失陷案例。 几个点比较值得注意： 一是补丁进度。Qualys 那组数据挺扎心的，1.1 亿实例还跑在已停止支持的 PHP 5.4–8.1 上，这部分基本等于没有厂商补丁可打，只能靠下线、加 WAF 或做虚拟补丁过渡。剩下 4400 万在有补丁的分支上却没打，属于运维执行力问题。 二是 ASLR 绕过。目前只有 VulnCheck 声称在启用 ASLR、关闭错误显示的生产配置上实现了代码执行，而且只给客户，没有公开细节。GitHub 上几百个 PoC 里真能用的很少，Sansec 也修正了之前“15 分钟内大规模利用”的判断，公开利用对默认配置是失败的。所以这个绕过到底多通用，还得再观察。 三是攻击者那边也没有想象中顺利。SOCRadar 看到的工具服务器上，探测了 11 个站点全都不满足条件，Hunt.io 那边 10 轮攻击也没有成功案例。这说明利用链对配置的依赖很强，更像实验室环境能跑通，加固过的生产系统门槛不低。不过 Potassium 这种 Mirai 变种已经在更新构建、带下载器和 DDoS 功能，说明有人在做长期投入，不能掉以轻心。 四是 CISA 还没把这两个漏洞加进 KEV，