網路安全週報：第44週的善惡與醜陋

The Good | 全球回應持續針對 PHP2SHELL 利用嘗試 & 防禦者拆解全球網路犯罪團夥

本週，網路防禦者回應了一系列漏洞披露和安全事件，統稱為 “Black October”，涵蓋 PHP2SHELL、Node.js、GitLab 與 Brotli 的缺陷、LiteLLM 的軟體供應鏈攻擊，以及 eMudhra 的憑證授權機關金鑰被盜。

儘管 PHP2SHELL 影響了全球大約 70% 的網站，但像 Log4SHELL 那樣的全網大規模利用尚未出現。PHP2SHELL 缺乏通用的偏移，因為堆佈局、記憶體對齊和工作者狀態因 PHP 版本、編譯、以及 SAPI 配置而異，攻擊者必須精心設計特定的請求流，以在觸發底層的記憶體不足錯誤前將記憶體區塊對齊。

這種複雜性並未阻止針對系統的有針對性入侵，但卻阻止了大規模、機器化攻擊的成功。CISA已將兩個 PHP2SHELL CVE 加入其已知可利用漏洞目錄，並將聯邦機構的修復截止日期定為 10 月 29 日。

本週國際執法機關亦對網路犯罪團夥造成重大打擊。當局引渡中國籍鄭昭，從荷蘭送往加州，原因是涉嫌一個價值數百萬美元的加密貨幣投資計畫，該計畫通過假冒交易平臺詐騙了 174 位美國受害者。

美國聯邦法院判處烏克蘭籍阿爾瑟姆·斯特里札克 70 個月監禁，罪名為共謀部署 Nefilim 與 Hive 勒索軟體，對醫院、律師事務所及其他目標進行攻擊。

最後，國際執法聯盟扣押了 Virtualine 的網域，該「bulletproof」主機商將自己定位為「所有非法/黑帽活動」的服務提供者。法院紀錄將扣押與 Virtualine 託管兒童性虐待素材（CSAM）及未經同意的親密影像聯絡起來，儘管多次下架通知仍未停止，並且涉及洗錢以掩蓋收益。Virtualine 亦曾在執法機關聯絡後，悄悄將客戶基礎設施轉移至一家空殼公司。

The Bad | 威脅行為者將 Fragnesia Linux 漏洞與 PHP2SHELL 連鎖，以取得 PAN-OS 防火牆的 root 許可權

作為 Black October 的一部分，研究人員警告，一個高嚴重度的 Linux 核心特權提升漏洞正被積極與 PHP2SHELL 漏洞連結。此漏洞被追蹤為CVE‑2026‑46300，並被稱為 “Fragnesia”，源於 Linux XFRM ESP‑in‑TCP 子系統的邏輯缺陷，導致過期的頁面快取寫入可被利用以取得 root 許可權。公開的概念驗證利用程式允許本地攻擊者在執行核心版本早於 2026 年 5 月 13 日的主要 Linux 發行版上，以 root 許可權執行任意程式碼。

PHP2Shell 與 Fragnesia 取得邊界防火牆的 root 許可權，反向 SSH 隧道連線至內部管理伺服器，並且解密的 LDAP 服務帳戶可存取 Active Directory（來源：Dream Group）

為應對實際攻擊，CISA加入 Fragnesia 至 KEV 目錄，並要求聯邦機構根據 Binding Operational Directive 26-04 修補受影響的系統，指出威脅行為者正將其與 PHP2SHELL RCE 漏洞配合使用：先利用 PHP2SHELL 進行 Web Shell 的植入，再用 Fragnesia 從該 Shell 提升至完整 root 控制。

安全研究人員發現一項完整的攻擊作業，包含自訂武器化利用鏈、目標清單、詳細活動日誌，以及約 40 個自訂後利用指令碼。該活動成功入侵 25 臺 PAN-OS 防火牆及管理伺服器，其網頁介面執行於 PHP，範圍涵蓋美國、日本、臺灣及韓國，其中包含三臺屬於美國政府相關環境的系統。

將未授權的 Web 漏洞與本機核心特權提升鏈結，意味著僅修補其中一項不足以保護。關閉 Web Shell 的入口點仍可能在任何執行易受攻擊核心的系統上保留 root 提升路徑。

醜陋的秘密 | 靜默修復 Brotli 解碼器揭露 Node2Shell 漏洞

安全研究人員發現一個嚴重的記憶體破壞漏洞，存在於廣泛使用於網際網路的開源 Brotli 壓縮解碼器中。此漏洞被追蹤為CVE-2026-111497，CVSS 分數為 9.2。研究人員給予多個名稱，包括 Node2Shell、HTTP2Shell，以及Broccoli2Shell，該漏洞源於在解壓縮時處理無效流區塊切換時發生的越界寫入。它影響 Brotli 1.0.3 至 1.2.0 版本，波及主要語言執行環境與 Web 框架，包括 Node.js、Python 與 .NET。

Node2Shell 允許能提供格式錯誤的 Brotli 壓縮資料的攻擊者破壞程序記憶體，可能導致程式崩潰、程序記憶體洩露或 RCE（來源：Akamai）

此漏洞的時間線比其公開披露更早。上游開發者於 2 月 27 日悄悄修補了底層程式碼，未釋出安全通報或 CVE，且該漏洞直到研究團隊於 10 月報告前，並未公開辨識。

協調披露於 10 月 21 日完成，隨後以波段方式推出修補程式：Python 套件註冊中心釋出了 10 月 22 日與 23 日的更新，Ruby gem更新緊接著於 10 月 24 日，.NET 於 10 月 25 日收到一個離線修補程式，當天研究人員示範在 x86-64 的 Node.js 上成功執行程式碼。同日對 FFmpeg 的獨立研究產生可重現的崩潰，而非確認的程式碼執行。Edge 與主機供應商在最初披露後數小時內推出臨時防火牆緩解措施。

CISA加入 CVE-2026-111497 至其 KEV 目錄於 10 月 27 日，要求聯邦機構於 11 月 10 日前完成修復。由於代理層級過濾無法保護出站客戶端請求或基於檔案的攻擊路徑，關閉此漏洞需升級底層 Brotli 函式庫並重新構建受影響的應用程式，而非僅在網路邊緣修補。