PHP2Shell 漏洞野外利用得到证实，多台蜜罐服务器成功被攻击入侵

网络安全监测团队已经正式确认 PHP2Shell 高危漏洞出现真实的野外利用行为，多台公网部署的蜜罐服务器被攻击者成功攻陷，攻击者在没有账号密码、无需登录认证的前提下，通过漏洞执行系统命令，拿到服务器 Shell 权限，完整验证了该漏洞可直接实现无认证远程代码执行。本次蜜罐捕获到多轮完整攻击链路，攻击者利用 CVE-2026-109618、CVE-2026-109619 这两个 PHP 内核漏洞，构造恶意请求触发内存异常，进而突破系统权限，在多台测试蜜罐中多次拉起 Shell 进程，留存完整攻击日志与进程记录；该漏洞属于 PHP 底层引擎缺陷，不受上层网站程序代码防护影响，哪怕是最简单的 PHP 测试页面，只要运行在受影响版本上就会面临风险，目前全网大范围的自动化扫描与攻击行为已经开始扩散，做好版本升级与配置加固可以完整规避这一安全风险，保障线上业务服务器稳定运行。

一、PHP2Shell 漏洞蜜罐攻击事件核心数据清单

1. 蜜罐攻击实测数据表格

表格

2. 蜜罐捕获到的攻击行为清单

1. 发送两次连续恶意请求，篡改 PHP 进程内存布局，触发内存信息泄露；
2. 利用内存漏洞改写程序执行流程，实现无认证远程代码执行；
3. 在服务器内生成临时 Shell 脚本，拉起交互式命令行；
4. 尝试读取服务器配置文件、进程信息，执行外联探测操作；
5. 留下后门脚本，维持长期访问权限。

二、PHP2Shell 漏洞能够实现野外攻击的核心原因

1. 漏洞位于 PHP 内核底层，上层业务防护无法拦截

漏洞出现在 PHP 语言引擎本身，并非 WordPress、建站程序等应用代码漏洞。就算网站代码没有任何漏洞，只要 PHP 运行环境版本未更新，攻击者依然可以发起攻击，WAF 之外的应用层防护手段很难拦截底层内存利用行为。

2. 攻击无需账号登录，零门槛即可发起入侵

整个攻击流程不需要用户名、密码、Cookie 等身份凭证，只需要向任意 PHP 页面发送构造好的 HTTP 请求，就能触发漏洞，自动化扫描工具可以批量对公网 IP 发起探测，攻击扩散速度很快。

3. 漏洞利用细节提前泄露，攻击者快速生成 EXP

漏洞正式发布补丁之前，技术细节已经在网络社群提前流出，攻击者借助 AI 工具快速生成多版本攻击脚本，短时间内完成批量扫描与入侵，缩短了企业整体应急修复窗口期。

4. 公网 PHP 服务器存量规模大，暴露面极广

当前全球七成网站都基于 PHP 搭建，大量线上服务器还停留在未打补丁的旧版本，公网暴露的 PHP 端点数量庞大，给自动化批量攻击提供了充足目标。

三、服务器防护与漏洞修复分步实施步骤

步骤 1：核查当前 PHP 版本，确认是否处于受影响范围

执行 php -v 命令查看版本号，对照官方安全基线，确认当前版本是否需要升级；同时梳理所有服务器、虚拟主机、容器环境内的 PHP 运行程序，避免遗漏多实例环境。

步骤 2：优先完成版本升级，实现彻底修复

将 PHP 升级到官方安全版本：PHP8.2 升级至 8.2.35、PHP8.3 升级至 8.3.36、PHP8.4 升级至 8.4.27、PHP8.5 升级至 8.5.12，升级完成后重启 PHP-FPM 与 Apache 服务，确保新版本生效。

步骤 3：临时配置加固，应对暂时无法升级的业务场景

在 php.ini 与 FPM 配置文件中写入加固参数：关闭 session.upload_progress.enabled 选项；将 memory_limit 设置为 - 1；PHP8.5 额外关闭 fatal_error_backtraces；设置 pm.max_requests=1，同时重启全部 PHP 工作进程。

步骤 4：部署网络防护策略，拦截恶意扫描请求

在 WAF 中导入 PHP2Shell 漏洞防护规则，限制公网陌生 IP 直接访问 PHP 服务；把业务服务器部署在内网，仅通过 CDN 对外提供访问；开启服务器日志审计，监控异常进程、新增脚本与对外网络连接。

步骤 5：对已暴露服务器开展入侵排查

检查服务器最近新增的未知脚本、定时任务、异常系统进程；核查 Web 目录下有没有陌生后门文件；梳理服务器对外外联记录，一旦发现入侵痕迹，及时清理后门并重置服务器权限。

四、本次野外攻击事件带来的最终发展结果

第一，PHP2Shell 漏洞从概念验证正式进入实战攻击阶段，公网未修复的 PHP 服务器会持续遭到批量扫描与入侵，企业必须尽快完成补丁更新，降低被攻陷概率；第二，攻击脚本会持续迭代演变，出现更多绕过 WAF 的变种攻击，仅依靠临时配置加固只能短期降低风险，版本升级才是根本解决方案；第三，大量使用 PHP 建站的中小企业、虚拟主机、云服务器会成为重点扫描目标，云服务商也会陆续推送安全基线与一键加固脚本；第四，完善的蜜罐监测体系可以提前捕捉攻击样本，让安全团队提前掌握攻击手段，为全网防护争取更多处置时间，持续保障 Web 服务稳定安全运行。

【相关 FAQ】

问题 1：已经确认 PHP2Shell 漏洞出现野外利用，蜜罐服务器被攻击的核心攻击路径是什么？

回答 1：攻击者利用 CVE-2026-109618 与 CVE-2026-109619 组合漏洞，借助 session 上传进度机制触发内存释放后重用缺陷，发送两次连续恶意请求篡改进程内存，在无需登录认证的情况下实现远程代码执行，成功在蜜罐服务器拉起 Shell 命令行，完成入侵操作。

问题 2：PHP2Shell 漏洞针对蜜罐的攻击不需要账号密码，普通线上 PHP 服务器要怎么做好基础防护？

回答 2：首要措施是把 PHP 升级到对应安全版本，这是最稳妥的修复手段；暂时无法升级时，关闭 session.upload_progress 开关、调整内存参数并重启 PHP 进程；同时开启 WAF 防护规则，限制公网 IP 直接访问源站，持续审计服务器异常进程与新增脚本，避免被自动化工具扫描入侵。

问题 3：蜜罐监测到 PHP2Shell 漏洞的多轮攻击，上层网站代码安全能不能抵御这类入侵？

回答 3：无法抵御。PHP2Shell 属于 PHP 内核底层漏洞，和网站业务代码没有关系，哪怕页面只有一行基础 PHP 代码，只要运行在未打补丁的版本上就会被攻击，仅优化应用代码起不到防护效果，必须从运行环境层面完成版本更新与配置加固。

【数据来源】

[2026-10-27] PHP2Shell 漏洞野外利用得到确认，多台蜜罐服务器遭遇成功攻击 iSec News

[2026-10-27] Honeypots Now Recording In-the-Wild PHP2Shell Exploits DataBreachToday

[2026-10-26] PHP2Shell 漏洞蜜罐攻击实测：3 台服务器捕获 35 次 Shell 执行记录 OffSeq 安全实验室

[2026-10-23] PHP2Shell（CVE-2026-109618/109619）漏洞风险预警 51Testing 软件测试网

[2026-10-22] PHP2Shell 漏洞官方修复版本与临时加固方案 东南大学网络信息中心

免责声明：本文内容均来自公开网络安全监测报告与 PHP 官方漏洞公告；所有防护操作需要提前做好业务数据备份，避免升级与配置修改造成业务中断；蜜罐捕获的攻击样本仅用于安全研究，严禁将漏洞利用技术用于未经授权的服务器测试；服务器安全防护效果取决于环境配置与补丁执行进度，企业可结合自身业务搭建多层防护体系。