蜜罐捕获PHP2Shell首次成功利用
Perplexity研究员Adel Karimi表示，六个蜜罐传感器在10月24日19时26分至31分（UTC）期间侦测到PHP2Shell利用活动。在运行PHP 8.4.26并搭配Apache mod_php的蜜罐中，攻击者通过特定处理程序启动/bin/sh，执行了35次Shell处理程序。攻击分为四个阶段，包括制造内存压力、利用过大的PHPSESSID Cookie取得内存信息，以及根据取得的内存地址调整最终请求；PHP开发团队已修补相关漏洞，Wiz与Calif则称AI协助其发现了破坏力异常严重的漏洞。
报告称这是首次观测到的PHP2Shell成功利用活动，共执行35次Shell命令并取得任意命令执行能力，同时指出Wiz与Calif借助AI发现了相关漏洞。
文/周峻佑|2026-10-28 發表
上週PHP開發團隊公布及修補統稱為PHP2Shell的重大漏洞CVE-2026-109618、CVE-2026-109619，找出漏洞的資安公司**Wiz與Calif**皆透露，若非借助AI的力量，研究人員難以找出具有實際破壞威力的資安漏洞，換言之，攻擊者想要找出利用的方法，難度應該也相當高。因此大部分傳出的積極利用活動，多半是偏向偵察行為，尋找存在PHP2Shell的環境，然而，最近有研究人員於自行架設的蜜罐陷阱裡，看到攻擊者成功利用漏洞的情形。
Perplexity研究員Adel Karimi指出，他在世界協調時間10月24日晚間19時26分至31分期間，透過6個感測器在蜜罐陷阱偵測到成功利用PHP2Shell的活動，攻擊者一共藉此執行35次Shell處理程序，於執行PHP 8.4.26並搭配Apache mod_php的蜜罐陷阱裡，透過Apache的特定處理程序啟動/bin/sh。攻擊者主要透過4個階段發動攻擊，包括製造記憶體壓力、利用過大的PHPSESSID Cookie取得記憶體資訊、再次製造記憶體壓力，以及根據取得的記憶體位址調整最後的請求內容，最終成功利用漏洞並執行Shell命令，這是首度有人成功利用PHP2Shell並取得執行任意程式碼的能力。
#PHP2Shell#PHP#PHP development team#Wiz#Calif#Perplexity#PHP 8.4.26#Apache mod_php#CVE-2026-109618#CVE-2026-109619