Honeypot captures first reported PHP2Shell exploitation
Perplexity researcher Adel Karimi said six honeypot sensors detected PHP2Shell exploitation between 19:26 and 19:31 UTC on October 24. In a honeypot running PHP 8.4.26 with Apache mod_php, attackers launched /bin/sh and executed 35 shell processes through a four-stage attack involving memory pressure, an oversized PHPSESSID cookie, and adjustment of the final request using obtained memory addresses. The PHP development team patched CVE-2026-109618 and CVE-2026-109619, while Wiz and Calif said AI assistance helped them find the unusually destructive vulnerabilities.
The report describes the first observed successful PHP2Shell exploitation, with 35 shell executions and arbitrary command execution, and links the vulnerabilities’ discovery to AI assistance.
文/周峻佑|2026-10-28 發表
上週PHP開發團隊公布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，找出漏洞的資安公司**Wiz與Calif**皆透露，若非借助AI的力量，研究人員難以找出具有實際破壞威力的資安漏洞，換言之，攻擊者想要找出利用的方法，難度應該也相當高。因此大部分傳出的積極利用活動，多半是偏向偵察行為，尋找存在PHP2Shell的環境，然而，最近有研究人員於自行架設的蜜罐陷阱裡，看到攻擊者成功利用漏洞的情形。
Perplexity研究員Adel Karimi指出，他在世界協調時間10月24日晚間19時26分至31分期間，透過6個感測器在蜜罐陷阱偵測到成功利用PHP2Shell的活動，攻擊者一共藉此執行35次Shell處理程序，於執行PHP 8.4.26並搭配Apache mod_php的蜜罐陷阱裡，透過Apache的特定處理程序啟動/bin/sh。攻擊者主要透過4個階段發動攻擊，包括製造記憶體壓力、利用過大的PHPSESSID Cookie取得記憶體資訊、再次製造記憶體壓力，以及根據取得的記憶體位址調整最後的請求內容，最終成功利用漏洞並執行Shell命令，這是首度有人成功利用PHP2Shell並取得執行任意程式碼的能力。
#PHP2Shell#PHP#PHP development team#Wiz#Calif#Perplexity#PHP 8.4.26#Apache mod_php#CVE-2026-109618#CVE-2026-109619