PHP2Shell 攻擊突破 25 臺伺服器，入侵美國政府相關網路

Ravie LakshmananOct 28, 2026漏洞 / 網路間諜

網路安全研究人員已披露看似由疑似與中國相關的威脅行為者策劃、並利用 PHP2Shell 漏洞進行的人工智慧 (AI) 助攻攻擊的細節，該攻擊突破了已公開的系統。

此活動於 2026 年 10 月 25 日被觀測到，涉及攻擊者將 PHP2Shell 與 Linux 核心提權漏洞結合，以取得 25 臺伺服器的 root 許可權，其中包括三臺屬於美國政府相關環境的系統。

「受影響的裝置執行某大型供應商防火牆軟體的特定版本，」網路安全公司 Dream 表示。「攻擊者隨後對 Active Directory 發動攻擊。回收的證據確認了憑證提取與目錄列舉。」

受影響供應商的名稱未公開，但以色列公司表示已通知該實體。攻擊鏈基本上將兩組影響 PHP 與 Linux 核心的漏洞結合在一起 -

PHP2Shell，一對被追蹤為 CVE-2026-109618 和 CVE-2026-109619（CVSS 分數：9.2）的缺陷，可能導致未經授權的遠端程式碼執行。
Fragnesia，一個 Linux 核心本地提權漏洞，追蹤編號 CVE-2026-46300（CVSS 分數：7.8）

"我們回收的實作是一個自訂、非公開版本，並非任何已知公開的 PHP2Shell 利用程式副本，" Dream 研究人員說。"它遵循相同的底層概念，但看似獨立開發並專門針對目標防火牆平臺進行調整。"

"該漏洞針對防火牆的 appweb 管理伺服器上的 PHP session.upload_progress 機制。防火牆作業系統使用 PHP 8.0.30，並設定高記憶體限制，使攻擊的記憶體損毀階段得以執行。"

據說，將 PHP2Shell 利用鏈自訂化武器化並結合 CVE-2026-46300，已在美國、日本、臺灣及南韓取得 25 臺伺服器的 root 許可權。

Dream 發現的證據顯示，該行動始於實驗室環境中的利用程式開發，隨後取得美國政府機構內部 Active Directory 域的持續存取權。

"一旦取得 root 許可權，攻擊者將焦點鎖定在美國政府相關環境的三臺特定伺服器上，" 公司指出。

AI 助攻工具的線索來自於證據顯示攻擊基礎設施安裝了 Anthropic 的 Claude Code，並且存在 FOFA 的 API 金鑰，以及一個名為 aiscan 的 AI 驅動進攻安全平臺，該平臺配置了 DeepSeek 與 Kimi 的大型語言模型（LLM）。

更進一步，近 40 個指令碼的程式結構、註解風格與一致性表明使用 AI 來協助開發流程。根據 Dream，整個行動展開如下 -

攻擊者使用 FOFA 來識別全球約 19,000 檯面向網際網路、且管理介面公開的防火牆。
執行自訂版本掃描器，以判斷這些裝置中哪些線上，以及它們正在執行的作業系統版本。約 5,000 臺裝置回應了版本資訊。
攻擊者將伺服器篩選至位於美國、日本、臺灣和韓國的伺服器，並將範圍限制在符合新版發行分支並執行 PHP 8.0.30 的系統。此步驟產生 240 個目標。
目標清單被輸入至自動批次執行器，該執行器利用 PHP2Shell‑Fragnesia 鏈，將 PHP 網頁殼植入防火牆上公開可存取的目錄，驗證 root 存取權，並將目標主機名稱與 IP 記錄至 CSV 檔。此步驟使攻擊者取得 24 臺伺服器的 root 存取權。
兩臺成功被入侵的系統被確認屬於美國政府關聯組織。其中一臺於 2026 年 10 月 23 日 6:14 UTC 時被取得 root 後不久即崩潰，並未再次上線。攻擊者進行專門的攻勢，於 2026 年 10 月 24 日 10:09 UTC 成功取得第二臺系統的 root。
攻擊者利用第二臺系統建立持久通道，透過反向 SSH 隧道將被入侵的防火牆連回操作者的基礎設施，進入內部網路。於 11:35 UTC 時，使用相同方法侵入第三臺政府伺服器，唯一差異是該伺服器為僅能透過隧道存取的內部防火牆管理伺服器。已取得 root 的伺服器總數達 25 臺。
攻擊者針對 Active Directory，解密 LDAP 服務帳號密碼、列舉使用者，並使用以組織為主題的密碼對每個使用者帳號進行密碼灑水，試圖提取憑證。此行動亦嘗試建立後門 Active Directory 帳號。

尚不清楚此行為是否使威脅行為者成功找到有效憑證或建立後門帳號。因此，攻擊的完整範圍仍不確定。

「由於美國、日本、臺灣與韓國是中國國家相關網路作戰在太平洋戰區的四大主要戰略對手與情報目標，這顯示可能存在國家級對手行動，」Dream 說。

「此行動說明暴露的管理介面如何成為進入組織身份基礎設施的通道。其他 22 臺已取得 root 的防火牆仍停放並帶有活躍的網頁殼。通往美國政府組織的持久隧道可能仍在執行。攻擊者仍有 19,000 個已指紋化的目標可在開發額外作業系統版本的檔案時再次訪問。」

披露發生時，PHP2Shell 漏洞在實際環境中的利用僅有限，威脅行為者指出將概念驗證 (PoC) 轉化為對真實目標可靠的攻擊向量的挑戰，儘管已將其整合進攻擊計畫。

「實際上這是不可利用的垃圾。要利用真實目標，你需要 libphp.so 的偏移量，這些偏移量對每個建置都是唯一且無法暴力破解。你可以在自己的測試平臺上重現，或如果你已經能存取目標的檔案系統，」XSS 論壇上使用 c0d3x 號碼的成員說，根據 Flare。

覺得這篇文章有趣嗎？請在 Google News、Twitter 及 LinkedIn 追蹤我們，以閱讀更多我們發布的獨家內容。