PHP2Shell 教戰守則：防禦 PHP RCE 漏洞利用
「PHP2Shell」是指一個極度危險且已公開的漏洞利用鏈，它武器化了 PHP 中的兩個嚴重漏洞：CVE-2026–109618 和 CVE-2026–109619（兩者的 CVSS v4.0 評分均高達 9.2）。此漏洞利用鏈允許未經身分驗證的攻擊者在任何處理 PHP 網頁請求的伺服器上執行遠端程式碼 (RCE)。這個廣泛的攻擊面涵蓋了所有內建 PHP 的產品，例如內容管理系統 (CMS)、管理控制台與網路設備。
根據 Sansec 的報告，主動攻擊始於 10 月 21 日——在官方發布安全修補程式的幾個小時前。由於這些漏洞在您的應用程式碼執行之前就已在核心 PHP 層級觸發，因此標準的應用程式層級防火牆與登入身分驗證完全無法提供保護。
立即修復指示
您的事件回應與 IT 團隊應立即優先採取以下行動：
- 盤點您的攻擊面： 記錄環境中每一台伺服器及內建 PHP 的第三方設備。優先處理直接暴露於公共網際網路的基礎設施。
- 套用緊急修補程式： 升級至已確保安全的 PHP 版本：
8.5.12、8.4.27、8.3.36和8.2.35（或部署特定供應商提供的等效修補套件）。注意： PHP 8.1 及更舊的版本將不會收到官方上游發布的更新；您必須向您的作業系統發行版或長期支援 (LTS) 供應商尋求安全修補程式。
補償性控制措施（若延遲修補）
如果您無法立即部署修補程式，您必須主動削弱攻擊者利用該缺陷的能力：
- 修改您的
php.ini或 PHP-FPM 資源池設定，將session.upload_progress.enabled=0，然後重新啟動所有 PHP worker 行程。 - 若執行的是 PHP 8.5，您必須額外設定
fatal_error_backtraces=0. - 在您的反向代理或網頁伺服器層（例如 Nginx、Apache）強制執行嚴格的 HTTP 請求大小限制。
- 在應用程式不嚴格要求檔案上傳的任何端點上，主動阻擋
multipart/form-data負載。
行為威脅狩獵（無 Mendel 平台的情況下）
靜態 IOC 和網路特徵碼的可靠性幾乎會立即降低。如果您未使用 Mendel 平台進行進階偵測，您的安全營運中心 (SOC) 必須轉向行為狩獵。尋找以下異常情況：
- 可疑負載： 監控人為注入
PHP_SESSION_UPLOAD_PROGRESS變數的 Multipart POST 請求。 - 錯誤爆發： 留意來自單一用戶端 IP 的 multipart POST 請求後，突然出現密集的 5xx HTTP 錯誤（特別是 502 Bad Gateway 或 503 Service Unavailable）。將此情況與後端 PHP 日誌中的
Allowed memory size ... exhausted致命錯誤進行交叉比對。 - 記憶體外洩指標： 仔細檢查 HTTP 回應中
Set-Cookie標頭內過大或結構畸形的PHPSESSID字串，這強烈暗示記憶體正在被成功外洩。 - 漏洞利用後衍生行程： 尋找網頁伺服器子行程非法衍生 shell（
sh、bash）或命令列網頁用戶端（curl、wget）。此外，監控網頁伺服器是否有異常的對外連線或內部網路偵察探測。
受駭主機的事件回應協議
如果您的行為狩獵確認已遭入侵，您必須果斷採取行動。立即將受影響的伺服器從網路隔離，保存所有封包擷取和系統日誌以供鑑識，並套用修補程式。
至關重要的是，由於記憶體外洩漏洞利用不會留下竊取了什麼內容的鑑識足跡，您必須假設憑證已全面外洩。您必須輪替（更換）PHP worker 在攻擊當下可能保留在記憶體中的每一個機密資訊。這包含資料庫密碼、API 金鑰、工作階段機密 (session secrets) 和 TLS 私鑰。輪替是應對記憶體暴露在數學上唯一安全的做法。
關於可見度的最後一點提醒： TLS 加密本質上會使網路入侵感測器無法看見網頁請求的內容。如果您的架構使您無法在邊緣解密流量以進行檢查，您必須完全依賴上述的後端行為指標和日誌異常。
關於GREYCORTEX
GREYCORTEX使用先進的人工智能，機器學習和數據挖掘方法來幫助組織使其IT操作安全可靠。MENDEL是GREYCORTEX的網絡流量分析解決方案，它可以通過檢測對其他網絡安全產品所缺少的敏感數據，網絡，商業機密和聲譽的網絡威脅，來幫助公司，政府和關鍵基礎設施部門保護其未來。MENDEL基於十年的廣泛學術研究，並使用在四項美國NIST挑戰賽中均獲得成功的技術進行設計。
About Version 2
Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.