安全研究员证实PHP2Shell漏洞已遭实际在野利用

攻击者已开始利用 PHP2Shell 漏洞在诱饵服务器上运行 Shell 命令。捕获该攻击活动的安全研究人员确认，这属于实际生效的远程代码执行（RCE），而非此前报道的大规模扫描或服务崩溃。在此之前，各安全机构虽已记录到数百万次针对该漏洞的利用尝试，但始终未能证实攻击代码已成功运行。

IT Jungle 报道称 PHP2Shell 高危漏洞引发“黑色十月”恐慌

蜜罐记录到 35 个 Shell

Perplexity 安全研究员 Adel Karimi 部署了一批运行普通 PHP 页面的蜜罐服务器，环境为 Apache mod_php 单 worker 配置下的 PHP 8.4.26。在最初 26 小时的监控中，系统仅记录到 30 次内存溢出错误和 11 次 worker 崩溃，并未产生代码执行。但在 10 月 24 日，传感器在 3 台蜜罐中记录到 35 个 Shell 实例，分别由两个 IP 地址生成（一个产生 3 个，另一个产生 32 个）。

攻击者采用了由 4 阶段 HTTP 请求组成的攻击链：最初的请求用于耗尽 PHP 内存，随后泄露内存数据，最终成功触发 Shell 命令执行。这一流量特征与公开针对 CVE-2026-109618 的概念验证利用代码高度吻合，现场未检测到第二阶段载荷的下载行为。Karimi 表示，这是已得到证实的、包含可用内存泄露的 RCE，而非简单的程序崩溃或异常进程。最终请求发出后约 1.6 毫秒，Shell 命令便已成功执行。

Karimi 同时提醒，其蜜罐环境属于“故意创造的理想条件”，无法直接反映该利用方式在其他服务器配置中的稳定性。网络安全研究员 Marcus Hutchins 评价称，这是迄今为止所见质量最高的 PHP2Shell 在野利用确证。截至 10 月 26 日上午，美国网络安全和基础设施安全局（CISA）尚未将相关漏洞加入已知被利用漏洞目录。

漏洞泄露后紧急推送补丁

两处相关漏洞在 CVSS 4.0 标准下的评级均为 9.2 分。未经身份验证的远程攻击者可在请求处理失败时破坏 PHP 内部内存，进而实现任意代码执行。在 CVE 编号泄露至 Hacker News 后，PHP 团队提前一天发布了更新，于 10 月 21 日在 8.5.12、8.4.27、8.3.36 和 8.2.35 等版本中完成修复。

亚马逊方面记录显示，早在漏洞公开披露前 4 天的 10 月 17 日，就已经检测到攻击利用尝试。截至 10 月 23 日，全球仍有超过 3440 万个 PHP 服务处于易受攻击的状态评估中。

AI 辅助挖掘引发“黑色十月”

上述漏洞最初由 Wiz 和 Calif 的研究人员于 8 月借助 OpenAI 与 Google 的 AI 模型挖掘发现。这一波由 AI 挖掘并集中曝光的漏洞潮被业内戏称为“黑色十月”，部分企业和机构甚至在紧急排查修补期间将网站整体下线。资本市场也借此押注网络安全支出的增长，带动相关安全软件类股出现上涨。不过安全机构 Arctic Wolf 补充指出，目前仍较少看到大规模、高稳定性的实际在野利用证据。