攻擊者正試圖將存在漏洞的 PHP 伺服器招募進「Potassium」——一個源自 Mirai、專為分散式阻斷服務（DDoS）攻擊打造的僵屍網路——但截至目前，這場行動仍未能順利得手。Mirai 的原始碼於 2016 年公開，之後衍生的僵屍網路曾發動多起史上規模最大的 DDoS 攻擊。The Hacker News 於 10 月 23 日報導，儘管漏洞利用嘗試已達數十萬次，仍未確認有任何伺服器遭到入侵。

目標漏洞

這場行動鎖定兩個 PHP 漏洞：CVE-2026-109618 與 CVE-2026-109619。兩者的嚴重性評分均為滿分 10 分中的 9.2 分，已明確落在 CVSS 評分標準的重大漏洞範圍內；兩者也都允許未經驗證的遠端程式碼執行，代表攻擊者無須憑證即可在存在漏洞的伺服器上執行指令。PHP 於 10 月 21 日發布修補程式，但駭客當時已開始針對這些漏洞發動攻擊。

數百萬次探測，零起已確認的入侵

這些數據確實反映出攻擊者探測的廣泛程度。Imperva 在 24 小時內記錄到 482,342 次請求嘗試，分布於 122,311 個工作階段，目標為 103 個國家的 21,998 個網站。與此同時，Censys 報告偵測到超過 4,100 萬個面向網際網路、執行受影響版本的 PHP 服務；截至 10 月 22 日，只有約 100 萬個服務已部署修補版本——也就是說，在修補程式發布整整一天後，絕大多數暴露的伺服器仍未完成修補。掃描活動或暴露數量並不足以證明實際發生了入侵。

Sophos 的觀察，以及其後的撤回

Arctic Wolf 表示，與 Potassium 相關的活動包括嘗試執行指令及下載惡意軟體。另一項在沙箱環境中進行的評估發現，不同樣本會透過 TCP 連接埠 50792，從 IP 134.199.154[.]64 連往 thunder.godofthunder[.]st，並攻擊兩個烏克蘭主機。這證明了該惡意軟體的潛在能力，但不能證明攻擊者已入侵正式環境伺服器。10 月 22 日，Sophos 撤回先前宣稱成功的公告，並告訴 The Record，其實際觀察到的只有未成功的攻擊嘗試。

24 種洪水攻擊指令與停用中的 ENS 開關

Arctic Wolf 揭露，Potassium 包含 24 種洪水攻擊指令，涵蓋 ICMP、TCP、UDP 及 OpenVPN 的所有類型。該惡意軟體的 ARM 與 x86-64 版本也都包含 Ethereum Name Service（ENS）查詢功能——這是一種運行於 Ethereum 區塊鏈、而非傳統 DNS 階層上的去中心化命名系統——但兩個版本的該功能目前都已關閉。Ethereum 與 ENS 並未遭到入侵。不過，如果啟用 ENS 查詢功能，攻擊者可能更難使用傳統 DNS 與 IP 控制措施封鎖僵屍網路的指令伺服器。

垃圾級 PoC 與可運作的私有漏洞利用程式

許多公開的概念驗證（PoC）漏洞利用程式會遭到正式環境防禦機制阻擋，尤其是位址空間配置隨機化（ASLR）。這是一種強化技術，會隨機化程式碼與資料在記憶體中的位置，讓漏洞利用程式無法可靠地鎖定固定位址。VulnCheck 的 Spencer McIntyre 將許多流傳中的樣本形容為「垃圾且無法運作」，The Record 引述了他的說法。

不過，這項防護並非萬無一失。VulnCheck 開發出一個可繞過正式環境配置 PHP 8.4.26 之 ASLR 的私有漏洞利用程式，之後又擴大支援部分 8.4 與 8.5 版本。Google 的 John Hultquist 依據 The Record 的報導，將這項威脅形容為「可行且非常嚴重」。

為何 DDoS 僵屍網路令託管業者與加密貨幣營運商憂慮

更廣泛的威脅已相當嚴重。根據 Cloudflare 的威脅報告，Cloudflare 在 2026 年上半年記錄到 935 起流量超過每秒 1 太位元的 DDoS 攻擊。這些攻擊並未歸因於 Potassium，但展現了託管服務供應商、支付處理商與加密貨幣平台所面臨的干擾風險。目前沒有任何財務損失與 PHP2Shell 產生關聯。

PHP 的最新公告與應注意事項

10 月 23 日，PHP 揭露了另一項問題 CVE-2026-115560，涉及一種不尋常的應用程式配置。在正式修補程式發布前，PHP 建議將 session.upload_progress.enabled 設為 0。這項配置指令會停用 PHP 的上傳進度功能，同時也可作為 CVE-2026-109619 的緩解措施。

管理員應安裝 PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，重新啟動工作程序，確保執行中的程序實際載入已修補的程式碼，並監控可疑下載。Cobalt 資訊安全長 Andrew Obadiaru 警告，根據 The Record 的引述，目前的平靜期等同於「借來的時間」。