重大漏洞PHP2Shell傳出駭客成功利用，於伺服器執行Shell指令

上週PHP開發團隊公布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，找出漏洞的資安公司Wiz與Calif皆透露，若非借助AI的力量，研究人員難以找出具有實際破壞威力的資安漏洞，換言之，攻擊者想要找出利用的方法，難度應該也相當高。因此大部分傳出的積極利用活動，多半是偏向偵察行為，尋找存在PHP2Shell的環境，然而，最近有研究人員於自行架設的蜜罐陷阱裡，看到攻擊者成功利用漏洞的情形。

Perplexity研究員Adel Karimi指出，他在世界協調時間10月24日晚間19時26分至31分期間，透過6個感測器在蜜罐陷阱偵測到成功利用PHP2Shell的活動，攻擊者一共藉此執行35次Shell處理程序，於執行PHP 8.4.26並搭配Apache mod_php的蜜罐陷阱裡，透過Apache的特定處理程序啟動/bin/sh。攻擊者主要透過4個階段發動攻擊，包括製造記憶體壓力、利用過大的PHPSESSID Cookie取得記憶體資訊、再次製造記憶體壓力，以及根據取得的記憶體位址調整最後的請求內容，最終成功利用漏洞並執行Shell命令，這是首度有人成功利用PHP2Shell並取得執行任意程式碼的能力。

從攻擊來源來看，這次活動一共有兩個來源IP位址15.204.59[.]70、162.35.99[.]94，其中一個IP位址僅觸發3次Shell執行，另一個IP位址執行的活動較為多元，包含使用PHP CLI、curl、wget等工具，後續並加入動態身分識別檢查工作。兩個IP位址的活動共用範本、主體雜湊值等特徵，但並未共用控制機制，究竟是同一組人馬所為，或是由不同的攻擊者發起，Adel表示目前仍無法確定。