PHP2Shell 攻击进展
在发布处理 PHP2Shell 漏洞（编号为 CVE-2026-109618 和 CVE-2026-109619）的紧急更新仅两天后，网络安全公司监测到威胁分子正加紧尝试利用这些漏洞来部署著名僵尸网络 Mirai 的一个变种。尽管这些漏洞允许远程代码执行 (RCE) 且危险性极高，其 CVSS v4.0 评分为 9.2 分，但截至目前，尚未在实际环境中确认任何成功的入侵。
攻击者面临的技术挑战
来自 Sophos 和 Hunt.io 等公司的分析指出，攻击者在将这些漏洞转化为有效利用时遇到了极大的困难。Sansec 解释说，这些漏洞需要准确了解服务器配置和特定的运行条件，因为大多数公开可用的工具在面对默认的 PHP 设置时都会失效。
另一方面，VulnCheck 公司成功开发出了一种能够绕过 x86-64 系统中的 ASLR（地址空间布局随机化）技术的利用程序，这是一种曾被认为是攻击者主要障碍的内存保护技术。然而，该利用程序仅对该公司的客户开放，这反映了公开可用工具与高级攻击能力之间的差距。
实际发生了什么变化？
- 利用复杂性： 在攻击者服务器上发现的工具（通过 SOCRadar）表明，攻击者正在进行密集的实验室测试，但在入侵与其测试环境不匹配的真实服务器时却屡屡失败。
- 预防措施： 对这些漏洞的担忧导致许多机构（包括欧洲的政府和教育机构）在应用更新期间暂时关闭了其系统作为预防措施。
- 补丁缺口： Qualys 的数据揭示了补丁管理方面的一大挑战，数百万个 PHP 副本仍在运行将不会收到任何安全补丁的极旧版本（生命周期结束/EOL），这使得它们长期面临风险。
安全背景
这些漏洞是 Wiz、OpenAI 和 Calif 于去年 8 月发现的，在 CVE 编号泄露后，更新（8.5.12、8.4.27、8.3.36 和 8.2.35 版本）的发布在 10 月 21 日被加速。尽管 Amazon 在 10 月 17 日监测到了初步的利用尝试，但截至目前，攻击活动尚未转化为已确认的入侵，这为系统管理员在攻击者开发出更高效的工具之前应用更新提供了一个关键的窗口期。