PHP2Shell 漏洞攻擊歐洲政府機構，全球掃描與 AI 助手利用成焦點

已觀察到威脅行為者在利用 PHP2Shell 漏洞（CVE-2026-109618 和 CVE-2026-109619）被濫用後，使用代理式人工智慧（AI）平臺進行後期利用活動。

"在一個案例中，攻擊者針對歐洲的一個政府機構，並在最初利用後兩小時內成功取得密碼雜湊值和多因素驗證機密，" Palo Alto Networks Unit 42 表示。

"他們還建立了 NT LAN Manager（NTLM）中繼隧道進入 Active Directory，並試圖提升至 Domain Admin 許可權。"

該網路安全公司表示，亦觀察到未知攻擊者正在列舉已被攻陷的端點，命令與行為標記顯示其為代理式攻擊者。這些命令包括用於促進 -

使用被盜憑證對身份驗證資料庫進行偵測，針對密碼雜湊值和雙因素驗證（2FA）機密。

透過基於 curl 的匿名 LDAP 查詢對域控制器（DC）進行 Active Directory（AD）偵測，試圖尋找管理員帳號。

對主機進行偵測，以搜尋 DNS/AD 整合、內部主機、特權群組及互動式使用者。

"每個命令批次都被 section-header 分隔符包裹，例如 ==SHELLUSER== 和 ==PASSWD==，" 它補充說。"這些分隔符產生可機器解析的輸出，供 AI 模型閱讀。"

疑似北韓活動以 PHP2Shell 為目標

此披露發生於 CYFIRMA 表示它發現一個疑似與北韓相關的攻勢，使用 PHP2Shell 從 21 個已受攻擊節點積極探測全球 PHP 基礎設施。

"掃描量故意低且有節奏，" CYFIRMA 的 CEO 兼創辦人 Kumar Ritesh 在 The Hacker News 表示。 "節點在首次被封鎖或速率限制時即被輪換並棄用，因此基於閾值的警報不太可能偵測到它。"

目標包含 216 臺未修補或僅部分緩解的主機，分佈於美國、日本、南韓、泰國、印尼、澳洲、臺灣、印度、新加坡、阿聯酋、沙烏地阿拉伯及歐盟。這些主機涉及政府、金融機構、物流、機場與航空、製造業，以及線上交易平臺。

"本次攻勢已從偵察轉為對篩選後目標進行低速、緩慢掃描，" CYFIRMA 表示。 "優先領域與地區的組織應視自己為可能被針對的物件。"

此活動透過封閉的 I2P 頻道協調，經中等信心歸屬於一名以韓語為母語、被評估與 Lazarus Group 生態系統相關聯的操作者。根據 CYFIRMA，兩個在 I2P 頻道上活躍的帳號（전창혁 2 aka Jeon Chang-hyuk 2）與（최아린 aka Choi A-rin）曾被觀察到為威脅行為者執行秘密任務。

"以韓語為母語的操作者已使用該頻道分享目標清單、利用主機基礎設施，以及執行與朝鮮目標相符的任務分配與優先排序，" Ritesh 說。 "所捕獲的對話使用的是北韓（Munhwaŏ）特有的詞彙與拼寫，而非南韓標準。"

以下為將本攻勢與 Lazarus 集團聯絡起來的其他主要指標 -

Lazarus 先前使用來利用網路資產的指揮與控制（C2）基礎設施。
Lazarus Group 的已記錄歷史，曾入侵 PHP 與 WordPress 伺服器以作 C2 並植入 PHP 與 ASP 網頁殼，觀察於 SyncHole watering hole 活動。
優先攻擊政府機構與銀行，尤其是線上交易平臺，這與 Lazarus Group 以往入侵金融機構以盜取資金與加密貨幣的紀錄相符。

「利用即是下一步」，CYFIRMA 表示。『運營者表示，他們會在同一天篩選最具潛力的目標，然後挑選哪些公開漏洞可供調整。』

其他漏洞利用與緩解措施

在 2026 年 10 月 25 日於 X 上 shared 的貼文中，Defused Cyber 表示他們也看到 PHP2Shell 探測針對其 Palo Alto Networks GlobalProtect 蜜罐。此活動來源於 204.76.203[.]7，一個已知的大規模利用 IP 位址。

「請求帶有 PHP_SESSION_UPLOAD_PROGRESS 標記（'p2s-rider'）以及一個不含有效負載的假檔案上傳，這表明有人正在檢查易受上傳進度行為影響的漏洞，並可能正在為 Palo Alto 裝置建立目標清單，」該威脅情報公司表示。

CVE-2026-109618 與 CVE-2026-109619 均為 critical vulnerabilities，在預設 PHP 設定下可能導致遠端程式碼執行。這些安全缺陷已 witnessed 廣泛的 scanning efforts，Cloudflare 表示在公開披露後偵測到數百萬次利用嘗試。

\"攻擊者面臨兩個主要限制：必須調整請求大小以在正確時機失敗分配，並且必須擊敗 ASLR 以找到有效的記憶體位址，\" Datadog said. \"利用程式需要一個欄位名稱足夠小以適合請求主體，但又足夠大以至於複製其鍵時超過 memory_limit。\"

「當 PHP 解析表單欄位名稱時，它會在過程中做多次複製。攻擊者利用額外的記憶體，迫使 PHP 在複製名稱進入雜湊表時發生分配失敗。』

ReliaQuest 在 2026 年 10 月 22 日發布的更新中表示，他們在受控實驗室重現了 CVE-2026-109618，並觀察到一連串錯誤，這可協助防禦者辨識利用情形。

\"此測試發現跨 PHP 錯誤、Apache 存取、Apache 錯誤與系統日誌的特定序列，可能協助防禦者偵測利用，\" 它 said. \"防禦者應聚焦於序列：POST 請求回傳 500 錯誤，PHP 報告記憶體耗盡與堆疊損毀，且處理該請求的 Apache 工作者崩潰。\"

PHP Foundation 已經 warned 了第三個遠端程式碼執行漏洞 (CVE-2026-115560)，該漏洞只能在「非典型的設定與應用程式碼組合」下「occur」。此問題預計將在常規釋出週期中修復。

「應用程式必須在其設定中將 session.serialize_handler 設為 php_binary 或 php_serialize，然後在執行時使用 ini_set() 切換為 php，才可呼叫 session_start()，」基金會表示。『會話上傳進度仍須啟用。未在執行時改變序列化處理器的應用程式可保留此功能。』

Xint 已經發布了一個掃描器，用於檢查主機是否暴露於 PHP2Shell，指出在任何 PHP 指令碼無論應用程式為何，且在需要解碼的應用程式中，如 session_start() 與 unserialize()。

Bitsight 的全網掃描顯示，近 3700萬檯面向網路的系統正在執行 PHP 或相關軟體，其中大部分漏洞集中於美國、德國、法國、荷蘭和日本。

"PHP 在網路上佔有極大比例，從內容管理系統、線上商店到客製化內部工具，" Bitsight 說。"執行階段的缺陷無法透過修改應用程式碼來修復，且網頁應用防火牆或外掛更新也無法消除。只有在主機本身更新 PHP 才能彌補漏洞。"

覺得這篇文章有趣嗎？請在 Google News、Twitter 和 LinkedIn 追蹤我們，閱讀更多獨家內容。