PHP2Shell 教戰守則:防禦 PHP RCE 漏洞利用
「PHP2Shell」是指一個極度危險且已公開的漏洞利用鏈,它武器化了 PHP 中的兩個嚴重漏洞:CVE-2026–109618 和 CVE-2026–109619(兩者的 CVSS v4.0 評分均高達 9.2)。此漏洞利用鏈允許未經身分驗證的攻擊者在任何處理 PHP 網頁請求的伺服器上執行遠端程式碼 (RCE)。這個廣泛的攻擊面涵蓋了所有內建 PHP 的產品,例如內容管理系統 (CMS)、管理控制台與網路設備。
根據 Sansec 的報告,主動攻擊始於 10 月 21 日——在官方發布安全修補程式的幾個小時前。由於這些漏洞在您的應用程式碼執行之前就已在核心 PHP 層級觸發,因此標準的應用程式層級防火牆與登入身分驗證完全無法提供保護。
立即修復指示
您的事件回應與 IT 團隊應立即優先採取以下行動:
- 盤點您的攻擊面: 記錄環境中每一台伺服器及內建 PHP 的第三方設備。優先處理直接暴露於公共網際網路的基礎設施。
- 套用緊急修補程式: 升級至已確保安全的 PHP 版本:
8.5.12、8.4.27、8.3.36和8.2.35(或部署特定供應商提供的等效修補套件)。注意: PHP 8.1 及更舊的版本將不會收到官方上游發布的更新;您必須向您的作業系統發行版或長期支援 (LTS) 供應商尋求安全修補程式。
補償性控制措施(若延遲修補)
如果您無法立即部署修補程式,您必須主動削弱攻擊者利用該缺陷的能力:
- 修改您的
php.ini或 PHP-FPM 資源池設定,將session.upload_progress.enabled=0,然後重新啟動所有 PHP worker 行程。 - 若執行的是 PHP 8.5,您必須額外設定
fatal_error_backtraces=0。 - 在您的反向代理或網頁伺服器層(例如 Nginx、Apache)強制執行嚴格的 HTTP 請求大小限制。
- 在應用程式不嚴格要求檔案上傳的任何端點上,主動阻擋
multipart/form-data負載。
行為威脅狩獵(無 Mendel 平台的情況下)
靜態 IOC 和網路特徵碼的可靠性幾乎會立即降低。如果您未使用 Mendel 平台進行進階偵測,您的安全營運中心 (SOC) 必須轉向行為狩獵。尋找以下異常情況:
- 可疑負載: 監控人為注入
PHP_SESSION_UPLOAD_PROGRESS變數的 Multipart POST 請求。 - 錯誤爆發: 留意來自單一用戶端 IP 的 multipart POST 請求後,突然出現密集的 5xx HTTP 錯誤(特別是 502 Bad Gateway 或 503 Service Unavailable)。將此情況與後端 PHP 日誌中的
Allowed memory size ... exhausted致命錯誤進行交叉比對。 - 記憶體外洩指標: 仔細檢查 HTTP 回應中
Set-Cookie標頭內過大或結構畸形的PHPSESSID字串,這強烈暗示記憶體正在被成功外洩。 - 漏洞利用後衍生行程: 尋找網頁伺服器子行程非法衍生 shell(
sh、bash)或命令列網頁用戶端(curl、wget)。此外,監控網頁伺服器是否有異常的對外連線或內部網路偵察探測。
受駭主機的事件回應協議
如果您的行為狩獵確認已遭入侵,您必須果斷採取行動。立即將受影響的伺服器從網路隔離,保存所有封包擷取和系統日誌以供鑑識,並套用修補程式。
至關重要的是,由於記憶體外洩漏洞利用不會留下竊取了什麼內容的鑑識足跡,您必須假設憑證已全面外洩。您必須輪替(更換)PHP worker 在攻擊當下可能保留在記憶體中的每一個機密資訊。這包含資料庫密碼、API 金鑰、工作階段機密 (session secrets) 和 TLS 私鑰。輪替是應對記憶體暴露在數學上唯一安全的做法。
關於可見度的最後一點提醒: TLS 加密本質上會使網路入侵感測器無法看見網頁請求的內容。如果您的架構使您無法在邊緣解密流量以進行檢查,您必須完全依賴上述的後端行為指標和日誌異常。
關於GREYCORTEX
GREYCORTEX使用先進的人工智能,機器學習和數據挖掘方法來幫助組織使其IT操作安全可靠。MENDEL是GREYCORTEX的網絡流量分析解決方案,它可以通過檢測對其他網絡安全產品所缺少的敏感數據,網絡,商業機密和聲譽的網絡威脅,來幫助公司,政府和關鍵基礎設施部門保護其未來。MENDEL基於十年的廣泛學術研究,並使用在四項美國NIST挑戰賽中均獲得成功的技術進行設計。
關於 Version 2 Digital
資安解決方案 專業代理商與領導者
台灣二版 ( Version 2 ) 是亞洲其中一間最有活力的 IT 公司,多年來深耕資訊科技領域,致力於提供與時俱進的資安解決方案 ( 如EDR、NDR、漏洞管理 ),工具型產品 ( 如遠端控制、網頁過濾 ) 及資安威脅偵測應 變服務服務 ( MDR ) 等,透過龐大銷售點、經銷商及合作伙伴,提供廣被市場讚賞的產品及客製化、在地化的專業服務。
台灣二版 ( Version 2 ) 的銷售範圍包括台灣、香港、中國內地、新加坡、澳門等地區,客戶涵 蓋各產業,包括全球 1000 大跨國企業、上市公司、公用機構、政府部門、無數成功的中小企業及來自亞 洲各城市的消費市場客戶。


