美国网络安全监管机构 CISA 已正式确认，攻击者正在利用 PHP2Shell 的两个关键漏洞。CISA 于周一将 CVE-2026-109618 和 CVE-2026-109619 列入“已知被利用漏洞”（KEV）目录，并要求联邦民用机构在 10 月 29 日前完成修复。
高危漏洞引发广泛关注
这两个漏洞的 CVSS 评分均为 9.2，允许攻击者在无需身份验证的情况下，在易受攻击的 PHP 服务器上执行任意代码。鉴于 PHP 的广泛应用，潜在受影响范围巨大。尽管 CISA 警告了相关风险，但表示尚未观察到大规模的成功利用案例。
然而，维护者面临的压力来自攻击者的实际行动。AWS 早在 10 月 17 日——即漏洞公开前四天——就发现了针对这些漏洞的利用企图。随后，越来越多的证据表明，攻击者不再仅仅停留在探测阶段。
研究人员证实成功利用
10 月 24 日，Perplexity 安全研究员阿德尔·卡里米（Adel Karimi）披露了一项发现：他在三个运行 Apache mod_php 下 PHP 8.4.26 版本的蜜罐中，记录了 35 次成功的 shell 执行。攻击源自两个 IP 地址，通过内存耗尽和泄露技术实现远程代码执行。
卡里米指出，攻击者随后尝试使用 PHP、curl 和 wget 连接外部服务器，但未成功下载额外恶意软件。他的发现与 CVE-2026-109618 的利用特征一致，但未发现涉及第二个漏洞的证据。他同时提醒，由于蜜罐采用有利的单工配置，该结果未必能完全反映生产环境中的实际可靠性。
全球范围内的活跃攻击
代尔夫特理工大学威胁情报实验室的数据进一步佐证了攻击的活跃度。该实验室追踪到来自 70 个国家、超过 600 个 IP 地址发起的逾 50,000 次 PHP2Shell 漏洞利用请求。其中，有 171 个地址已从单纯的探测转变为发送漏洞利用代码或恶意软件投放器。
CISA 此次的确认也纠正了此前部分过早的报道。Sophos 曾撤回其关于观察到的活动等同于成功入侵的初步评估，认定其为扫描和失败尝试；Palo Alto Networks 也撤回了将该漏洞与欧洲政府机构入侵事件直接关联的说法。
修复建议与紧迫性
CISA 未透露具体受害组织名单，也未提供将其加入 KEV 目录背后的详细攻击数据。该清单仅证实机构认为这两个漏洞正被积极利用，但未量化已被成功攻破的生产系统数量。
对于联邦机构而言，整改期限临近。CISA 虽不强制要求非联邦组织遵守此期限，但仍敦促其优先解决安全问题。
管理员应根据所使用的发布分支，将 PHP 更新至以下版本之一：
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
对于运行较旧且不再受支持版本的用户，面临升级困难或需寻求供应商支持修复的挑战。若无法确保系统安全，建议在风险解除前暂时关机。等待更多证据再行补丁可能为时已晚。
