PHP2Shell 攻击激增，Potassium 僵尸网络扩员受挫
要点速览
- •两个 PHP 漏洞 CVE-2026-109618 和 CVE-2026-109619 的严重程度评分均为满分 10 分中的 9.2 分，属于“严重”级别，且允许未经身份验证的远程代码执行，攻击活动在 10 月 21 日补丁发布前即已开始。
- •截至 10 月 22 日，Censys 检测到超过 4100 万个运行受影响版本的面向互联网的 PHP 服务，而补丁发布一天后仅约 100 万个实例运行已修补的软件。
- •尚无服务器入侵事件得到确认，Sophos 于 10 月 22 日撤回此前声明，称其仅观察到未成功的攻击尝试。
- •Potassium 恶意软件包含 24 条覆盖 ICMP、TCP、UDP 和 OpenVPN 的洪水指令，外加休眠的以太坊名称服务查询功能——一旦激活，其命令服务器将更难被封锁。
- •VulnCheck 开发了一个可绕过生产配置 PHP 8.4.26 及特定 8.4 和 8.5 版本上 ASLR 的私有漏洞利用程序，而许多公开流传的概念验证样本仍无法运行。
攻击者正试图将易受攻击的 PHP 服务器征入用于分布式拒绝服务（DDoS）攻击的 Mirai 系僵尸网络“Potassium”——但迄今为止，这场行动的成效不佳。Mirai 的源代码于 2016 年公开，此后衍生自该株的僵尸网络曾发动过有记录以来一些规模最大的 DDoS 攻击。据 The Hacker News 10 月 23 日报道，尽管漏洞利用尝试已达数十万次，但尚无服务器入侵事件得到确认。
被盯上的漏洞
此次攻击行动围绕两个 PHP 漏洞展开，即 CVE-2026-109618 和 CVE-2026-109619，两者的严重程度评分均为满分 10 分中的 9.2 分——这一水平在 CVSS 量表中属于“严重”级别——且两者均允许未经身份验证的远程代码执行，这意味着攻击者无需任何凭据即可在易受攻击的服务器上运行命令。PHP 于 10 月 21 日发布补丁，但在那之前黑客已开始针对这些漏洞发起攻击。
数百万次探测，零确认入侵
这些数据确实表明攻击者的探测范围之广。Imperva 记录到在 24 小时内，攻击者发起 482,342 次请求尝试，涉及 122,311 个会话，目标为 103 个国家的 21,998 个站点。与此同时，Censys 报告检测到超过 4100 万个运行受影响版本的面向互联网的 PHP 服务，而截至 10 月 22 日仅有约 100 万个实例运行已修补的软件版本——这意味着在补丁发布整整一天后，绝大多数暴露的服务器仍未获得修复。扫描活动或暴露数量的统计并不足以证明实际发生了入侵。
Sophos 的所见与撤回
Arctic Wolf 报告称，尝试执行的命令和恶意软件下载行为已被归因于 Potassium。另一项在沙箱环境中进行的评估发现了一个不同的样本，该样本通过 IP 134.199.154[.]64 的 TCP 端口 50792 连接至 thunder.godofthunder[.]st，并攻击了两台乌克兰主机。这证明了该恶意软件的潜在能力，但并不表明攻击者已突破生产服务器。10 月 22 日，Sophos 撤回了此前关于攻击成功的声明，并向 The Record 表示其仅观察到未成功的攻击尝试。
24 条洪水指令与休眠的 ENS 开关
Arctic Wolf 披露，Potassium 包含 24 条洪水指令，涵盖所有类型的 ICMP、TCP、UDP 和 OpenVPN 攻击。该恶意软件的 ARM 和 x86-64 版本均包含以太坊名称服务（ENS）查询功能——这是一种运行在以太坊区块链而非传统 DNS 层级之上的去中心化命名系统——但该功能在两个版本中均处于关闭状态。以太坊和 ENS 未受到任何入侵。不过，如果 ENS 查询功能被激活，将使攻击者更难通过常规的 DNS 和 IP 控制手段封锁该僵尸网络的命令服务器。
垃圾 PoC 对阵用的私有漏洞利用程序
许多公开的概念验证（PoC）漏洞利用程序在生产环境防御面前失效，尤其是地址空间布局随机化（ASLR）——这是一种强化技术，通过随机化程序代码和数据在内存中的位置，使漏洞利用程序无法可靠地定位固定地址。VulnCheck 的 Spencer McIntyre 将许多流传的样本形容为“垃圾且无法运行”，此言引自 The Record。
不过，这层防护并非万无一失。VulnCheck 开发了一个可绕过生产配置 PHP 8.4.26 上 ASLR 的私有漏洞利用程序，随后将支持范围扩大至特定的 8.4 和 8.5 版本。据 The Record 报道，Google 的 John Hultquist 称这一威胁“切实可行且非常严重”。
DDoS 僵尸网络为何令托管与加密货币运营商担忧
更广泛的威胁已相当可观。据 Cloudflare 的威胁报告，2026 年上半年 Cloudflare 记录到 935 次超过每秒 1 太比特的 DDoS 攻击。这些攻击并未被归因于 Potassium，但它们说明了托管服务商、支付处理商和加密货币平台所面临的干扰。目前尚无金融损失与 PHP2Shell 相关联。
PHP 的新公告及后续关注点
10 月 23 日，PHP 披露了另一个问题 CVE-2026-115560，涉及一种不寻常的应用程序配置。在常规修复方案出台之前，PHP 建议设置 session.upload_progress.enabled=0，该配置指令用于禁用 PHP 的上传进度功能，同时也可作为 CVE-2026-109619 的缓解措施。
管理员应安装 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，重启工作进程以确保运行中的进程真正加载已修补的代码，并监控可疑的下载行为。据 The Record 报道，Cobalt 首席信息安全官 Andrew Obadiaru 警告称，目前的平静期无异于“苟延残喘的宽限时间”。
