2026-11-06 03:13:19 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

PHP2Shell 补丁发布两周后我们还知道什么

原创

Diana Asadova
Diana Asadova

网络与信息安全参考

2026年11月5日 07:50
山东

去阅读

THREAT BRIEF2026.11.03

PHP2Shell 补丁发布两周后
我们还知道什么

严重的 PHP 漏洞让全球数百万个网站面临风险，但至今仍没有大规模入侵的报告。本文讨论针对 PAN-OS 的攻击、Brotli 中的一个缺陷，以及企业在打补丁之外还需要采取的步骤。

周

SINCE PATCH

4600 万台可扫描服务器中，2900 万台仍未修补

PHP2ShellRCE补丁漏洞

十月末，几则令人不安的网络安全新闻几乎同时出现。其中包含 PHP 的两个严重漏洞，它们潜在影响着全球约 70% 的网站。这两个漏洞被命名为 PHP2Shell，编号为 CVE-2026-109618 与 CVE-2026-109619，可让攻击者在无需认证的情况下，远程在服务器上执行代码。

10 月 21 日，PHP 开发者为仍在支持的 PHP 8.2–8.5 分支，以及已停止支持的 PHP 7.4、8.0 和 8.1 发布了紧急补丁。专家预测，针对存在漏洞的服务器的攻击会在更新公开后的 15 分钟内开始。亚马逊甚至报告称，早在补丁发布四天之前就已出现利用尝试。在这些消息铺天盖地之际，一些组织提前拉响了警报。例如在若干国家，政府服务网站出于预防被下线。就连维基百科的项目管理与缺陷跟踪系统也暂停了服务。

距更新发布已过去近两周，但根据 Censys 的数据，在 4600 万台可被扫描到、运行着存在漏洞的 PHP 版本的服务器中，仍有 2900 万台未修复这些缺陷。补丁发布后不久，我们曾逐一详细拆解这两个漏洞，并说明了企业与普通用户分别应该怎么做。本文梳理截至目前关于这一威胁的已知情况，以及企业还需要额外采取哪些步骤。

PART

补丁发布之后，发生了什么

AFTER THE PATCHES

关于 PHP 严重漏洞的消息引发了一连串反应。研究者注意到出现了大量利用尝试，新的漏洞利用代码还一批批不断冒出——这要拜 AI 所赐。Palo Alto Networks 的一个部门甚至报告称，欧洲某政府机构遭到了 PHP2Shell 攻击，但该说法随后被撤回。关于这些漏洞究竟如何被实际利用，可靠证据直到更晚才出现。更麻烦的是，紧接着又冒出了第三个尚无补丁的漏洞。

NO PATCH一个没有补丁的漏洞

10 月 23 日（周五），PHP 团队警告了一个新漏洞 CVE-2026-115560，它可被用于远程代码执行。但攻击者只能在具备“异常配置与应用代码组合”的系统上得手。这种配置过于罕见，开发者决定不为此发布紧急补丁，而将按常规节奏修复该漏洞。在此期间，他们建议用户禁用 session.upload\_progress.enabled 这个 INI 选项。

FIRST EXPLOITS漏洞被利用的最早迹象

回到更严重的威胁上来。关于 PHP2Shell 在真实攻击中被利用，最有力的确认直到 10 月 24 日才出现。Perplexity 的 Adel Karimi 运营的蜜罐服务器运行 PHP 8.4.26、对外呈现为普通网页，记录到了来自两个 IP 地址的成功攻击。观察到的利用链与 CVE-2026-109618 相符。不过有一个重要前提：该研究者的蜜罐运行的是 Apache mod\_php 模块，而这是对攻击者最方便的配置。

随后在 10 月 26 日，美国网络安全和基础设施安全局（CISA）将 CVE-2026-109618 与 CVE-2026-109619 双双加入其“已知被利用漏洞”（KEV）目录。这确认了该威胁并非只是理论上的。

REAL BREACHES真实世界里的 PHP2Shell 入侵

10 月 26 日，科技公司 Dream 报告称，在美国、日本、中国台湾和韩国共有 25 台防火墙与管理服务器被攻陷。其中三台位于一个被推测与美国政府机构相关的环境中。攻击者把 PHP2Shell 与一个名为 Fragnesia 的 Linux 内核漏洞（CVE-2026-46300）组合使用。在取得完全的管理控制权后，他们得以提取一个 LDAP 服务账号的密码，并窃取用户与组列表、完整的网络配置以及私钥。

Dream 起初没有点明设备厂商。但在 10 月 29 日的更新中，该公司表示这些系统是运行特定版本 PAN-OS 的 Palo Alto Networks 设备。厂商确认了针对暴露在互联网上的管理接口的攻击，并敦促客户关闭这些接口的公开访问、将其限制为受信任的内部 IP 地址，并安装补丁。

PART

为什么事件如此之少

WHY SO FEW INCIDENTS

漏洞利用代码在成倍增加，但预期的入侵浪潮并未出现，PHP 服务器被大规模攻陷的可能性也仍未得到证实。即便在 Palo Alto 这一案例中，攻击规模也很小：在探测到的约 19000 台设备里，攻击者只挑选了 240 台，因为只有这些设备运行的软件版本是其利用代码能够应付的。

事实证明，现成的 PHP2Shell 利用代码并非万能钥匙。要在特定环境中利用这些漏洞，攻击者必须考虑确切的 PHP 构建版本、内存设置、请求处理方式以及应用层面的具体情况。尽管如此，危险依然存在，不要忽视防护措施。

PART

如何确保安全

HOW TO STAY SAFE

关键建议始终没变：更新。你可以在 PHP 官网找到该语言的最新版本。但安装补丁还不够。你还需要对系统做一次彻底审计，检查每一个运行在 PHP 上的组件是否存在被攻陷的迹象。

SECOND ROUND为什么要装第二轮的 PHP 更新

在发布紧急补丁五天之后，PHP 开发者又发布了新一轮修复。原因在于，修复 PHP2Shell 的那批更新并未覆盖第三方库 Brotli 中的 CVE-2026-111497 漏洞。当 PHP 处理来自外部服务器的特制压缩响应时，利用该缺陷可导致代码执行。10 月 25 日的构建版本中已包含修复后的该库。最新的 PHP 版本为 8.2.35-1、8.3.36-1、8.4.27-1 和 8.5.12-1。首个利用该漏洞的攻击已于 10 月 26 日被记录到，所以不要再拖延安装更新。

PHP 分支

含 Brotli 修复的最新版本

PHP 8.2

8.2.35-1

PHP 8.3

8.3.36-1

PHP 8.4

8.4.27-1

PHP 8.5

8.5.12-1

DETECTION威胁检测

PHP2Shell 被攻陷的可能迹象包括：包含 multipart/form-data 媒体类型的异常 POST 请求；PHP\_SESSION\_UPLOAD\_PROGRESS 与上传参数的可疑组合；异常的请求体积与请求突发；以及伴随 PHP 内存溢出（out-of-memory）消息的 HTTP 500 错误。

卡巴斯基的解决方案可以帮助你在攻击的不同阶段发现这一威胁。

Kaspersky NEXT EDR Expert

会及时就 Linux 与 Windows Web 服务器上下文中运行的可疑活动发出告警。

Kaspersky Anti Targeted Attack（KATA）

配合 NDR 模块，检查网络流量中是否存在对上述缺陷的利用行为。

Kaspersky Vulnerability Management

帮助你找出存在漏洞的软件版本。

Kaspersky Managed Detection and Response

通过监控 RCE 攻击的典型行为，检测对 CVE-2026-109618 与 CVE-2026-109619 的利用。

Kaspersky SIEM

已更新规则，有助于检测 PHP2Shell 典型的恶意活动。

想进一步了解我们的解决方案如何检测利用 PHP 漏洞的尝试，请阅读我们的专家博客 Securelist。