PHP2Shell 利用波及政府机构，全球扫描持续并出现 AI 辅助黑客迹象

在被追踪为 CVE-2026-109618 和 CVE-2026-109619 的 PHP2Shell 漏洞遭到滥用之后，威胁行为者已被观察到使用智能体 AI 平台进行后利用活动。

"在一个案例中，攻击者针对欧洲一家政府实体，在初始利用后两小时内，他们已成功获取了密码哈希和多因素认证机密，" Palo Alto Networks Unit 42 表示。

"他们还建立了一条通向 Active Directory 的 NT LAN Manager（NTLM）中继隧道，并尝试进行 Domain Admin 权限提升。"

这家网络安全公司表示，它还观察到这名未知攻击者在枚举被攻陷的端点，其命令和行为标记表明这是一次智能体攻击者的行动。这些命令包括用于以下目的的命令——

• 使用窃取的凭据对认证数据库进行侦察，目标是密码哈希和双因素认证（2FA）机密。
• 通过基于 curl 的匿名 LDAP 查询对域控制器（DC）进行 Active Directory（AD）侦察，以尝试查找管理员账户。
• 对主机进行侦察，寻找 DNS/AD 集成、内部主机、特权组和交互式用户。

"每个命令批次都包裹在节标题分隔符中，例如 ==SHELLUSER== 和 ==PASSWD==，"它补充道。"这些分隔符产生机器可解析的输出，供 AI 模型读取。"

疑似朝鲜活动瞄准 PHP2Shell

该披露之际，CYFIRMA 表示它发现了一个疑似与朝鲜相关的活动，该活动利用 PHP2Shell 从 21 个被攻陷的节点主动探测全球 PHP 基础设施。

"扫描是刻意低量且有节奏的，" CYFIRMA 的 CEO 兼创始人 Kumar Ritesh 告诉 The Hacker News。"节点会在出现封锁或速率限制的第一个迹象时被轮换和放弃，因此基于阈值的告警不太可能捕获到它。"

目标包括位于美国、日本、韩国、泰国、印度尼西亚、澳大利亚、台湾、印度、新加坡、阿联酋、沙特阿拉伯和欧盟的 216 台未打补丁或部分缓解的主机。这些主机涵盖政府、金融机构、物流、机场与航空、制造业和在线交易平台。

"该活动已从侦察转入对经过筛选的目标集进行主动的低速慢速扫描，" CYFIRMA 表示。"处于优先部门和地理位置的组织应假设他们已被纳入刻意攻击的范围。"

该活动通过一个封闭的 I2P 信道协调，以中等置信度归因于一名被认为隶属于 Lazarus Group 生态系统的朝鲜语操作者。据 CYFIRMA 称，在 I2P 信道中活跃的两个账号（전창혁 2 aka Jeon Chang-hyuk 2）和（최아린 aka Choi A-rin）此前曾被观察到为威胁行为者执行隐蔽行动。

"朝鲜语操作者曾使用[该信道]共享目标列表、漏洞利用托管基础设施，以及与 DPRK 目标一致的任务分配和优先级排序，" Ritesh 表示。"截获的对话使用的是朝鲜（Munhwaŏ）特有的词汇和拼写，而非韩国标准。"

将该活动与 Lazarus 集群关联的其他主要指标如下——

• Lazarus 此前曾用于利用网络资产的命令与控制（C2）基础设施。
• Lazarus Group 有据可查的攻陷 PHP 和 WordPress 服务器用于 C2 及植入 PHP 和 ASP web shell 的历史，如在 SyncHole 水坑攻击活动中所观察到的那样。
• 优先针对政府机构和银行，特别是在线交易平台，这与 Lazarus Group 入侵金融机构以窃取资金和加密货币的过往记录一致。

"利用是下一步，" CYFIRMA 表示。"操作者表示他们将在当天筛选出最有希望的目标，然后选择要改编的公开漏洞利用代码。"

其他利用尝试与缓解措施

在 2026 年 10 月 25 日发布于 X 的一篇帖子中，Defused Cyber 表示它也观察到针对其 Palo Alto Networks GlobalProtect 蜜罐的 PHP2Shell 探测。该活动源自 204.76.203[.]7，这是一个已知的大规模利用 IP 地址。

"这些请求携带一个 PHP_SESSION_UPLOAD_PROGRESS 标记（'p2s-rider'）和一个无载荷的虚拟文件上传，这表明有人在检查易受攻击的上传进度行为，并可能在构建 Palo Alto 设备的目标列表，"这家威胁情报公司表示。

CVE-2026-109618 和 CVE-2026-109619 都是严重漏洞，可在默认 PHP 配置下导致远程代码执行。这些安全漏洞已遭到广泛扫描，Cloudflare 表示在公开披露后检测到数百万次利用尝试。

"攻击者面临两个主要限制：他们必须将请求的大小设计为在恰当时刻分配失败，并且必须击败 ASLR 以找到有效的内存地址，" Datadog 表示。"该漏洞利用需要一个字段名，小到足以放入被接受的请求体，但又大到其键的复制会超出 memory_limit。"

"当 PHP 解析表单字段名时，它会在此过程中进行多次复制。攻击者利用这些额外内存，在 PHP 将名称复制到哈希表时强制分配失败。"

ReliaQuest 在 2026 年 10 月 22 日发布的一份更新中表示，它在受控实验室中复现了 CVE-2026-109618，并观察到一系列可帮助防御者识别利用行为的错误。

"这次测试识别出横跨 PHP 错误日志、Apache 访问日志、Apache 错误日志和系统日志的特定痕迹序列，可能帮助防御者检测利用行为，"它表示。"防御者应关注这一序列：一个 POST 请求返回 500 错误，PHP 报告内存耗尽和堆损坏，处理该请求的 Apache worker 崩溃。"

PHP Foundation 此后警告了第三个远程代码执行漏洞（CVE-2026-115560），它只能"在配置与应用代码的异常组合下发生"。该问题预计将作为常规发布周期的一部分得到解决。

"应用程序必须在其配置中将 session.serialize_handler 设置为 php_binary 或 php_serialize，然后在运行时通过 ini_set() 将其切换为 php，再调用 session_start()，"该基金会表示。"Session upload progress 也必须仍然处于启用状态。从不在运行时更改 serialize handler 的应用程序可以保持该功能启用。"

Xint 已发布一个扫描器，用于检查主机是否暴露于 PHP2Shell，并指出无论应用程序如何，任何 PHP 脚本中远程代码执行都是可能的，在发生解码的应用程序中也是如此，例如使用 session_start() 和 unserialize() 的场景。

Bitsight 的全网扫描显示，近 3700 万个面向互联网的系统正在运行 PHP 或 PHP 相关软件，其中大部分暴露位于美国、德国、法国、荷兰和日本。

"PHP 支撑着网络的很大一部分，从内容管理系统和在线商店到定制的内部工具，" Bitsight 表示。"运行时中的缺陷无法通过更改应用代码来修复，Web 应用防火墙或插件更新也无法消除它。只有更新主机上的 PHP 本身才能弥合这一差距。"