資安威脅趨勢 - PHP重大漏洞PHP2Shell遭駭客成功利用，攻擊者可遠端執行Shell指令
一、摘要
Perplexity研究員Adel Karimi於2026年10月24日在蜜罐環境中，首次確認駭客成功利用PHP重大漏洞PHP2Shell（CVE-2026-109618、CVE-2026-109619），並執行遠端Shell指令。研究人員在3台執行PHP 8.4.26及Apache mod_php的蜜罐伺服器中，共觀察到35次成功的Shell執行事件，攻擊者透過記憶體資訊洩漏及調整記憶體位址，最終取得遠端程式碼執行能力。
二、存在風險
研究人員指出，攻擊者利用PHP2Shell漏洞，透過四階段HTTP請求進行攻擊，包含製造記憶體壓力、利用過大的PHPSESSID Cookie取得記憶體資訊、再次製造記憶體壓力，最後利用取得的記憶體位址執行惡意指令。
此次攻擊共涉及兩個來源IP，並成功在3台蜜罐伺服器執行35次Shell程序，攻擊者進一步使用PHP CLI、curl及wget等工具進行後續操作。若企業PHP伺服器未完成修補，可能遭攻擊者遠端執行任意指令，進而造成伺服器遭入侵及系統資料外洩等風險。
建議企業儘速更新PHP至官方修補版本，並針對異常HTTP請求、PHP記憶體錯誤，以及Apache程序異常啟動/bin/sh等行為進行監控。
IoC：
1.已確認成功利用的來源IP：
15.204.59[.]70
162.35.99[.]94
2. 可疑利用活動來源IP（尚未確認成功執行）：
104.28.208[.]84
144.48.4[.]242
3. 相關漏洞：
CVE-2026-109618
CVE-2026-109619
4. 攻擊特徵：
HTTP POST請求，使用multipart/form-data。
異常大型PHPSESSID Cookie。
PHP記憶體耗盡錯誤（Out of Memory）。
Apache程序異常啟動/bin/sh。
異常使用PHP CLI、curl、wget。
5. HTTP請求內容SHA-256：
A1：8e8fc166e6b326d20bb7611d8ef3cee3bd5da46447985312c1492ab0a44d1eb6
B1：b6c547e0e9a2bb26607df1521de96f4d5c9adf4621c28b7ab491587b21ae40f2
A2：7af66c8f35c5fa6b47a539da6dca361d19543d9f62d61e4af891c2802bd5e236
註：上述SHA-256為HTTP請求內容雜湊值，並非惡意檔案雜湊值。另外，本次已確認的攻擊鏈主要符合CVE-2026-109618，尚無法證實CVE-2026-109619亦遭此次攻擊利用。
