PHP2Shell 結合 Linux 提權打穿 25 台伺服器：AI 協助攻擊、3 台美國政府機構主機被 root

發生了什麼

想像你管理一台企業防火牆，管理介面暴露在網際網路上以便遠端維護。防火牆內建一個 web 管理伺服器，跑 PHP 8.0.30。你以為防火牆會保護內部網路，但攻擊者先打穿防火牆本身——利用 PHP2Shell 漏洞拿到程式碼執行權限，再用 Linux kernel 提權漏洞拿到 root，植入 webshell，建立反向 SSH 隧道連回攻擊者的基礎設施，然後透過隧道進入內部網路，開始攻擊 Active Directory。

2026 年 10 月 28 日，以色列資安公司 Dream 揭露一起由疑似中國行為者發動的攻擊，結合 PHP2Shell（CVE-2026-109618／109619）與 Fragnesia（CVE-2026-46300，Linux kernel 本地提權漏洞），在美國、日本、台灣、南韓 root 25 台伺服器，其中 3 台屬於美國政府關聯環境。

來源：本文整理自 The Hacker News 於 2026 年 10 月 28 日發布的報導，原始研究為 Dream 的威脅分析報告。原文連結，原文發布日期為 2026 年 10 月 28 日。

攻擊基礎設施顯示 AI 輔助攻擊特徵：安裝 Anthropic Claude Code、配置 FOFA（中國網路空間搜尋引擎）與 aiscan API 金鑰（AI 驅動的攻擊平台，使用 DeepSeek 與 Kimi 大型語言模型）。Dream 從程式碼結構、註解風格與一致性判斷近 40 個腳本是 AI 增強開發的產物。

攻擊鏈：PHP2Shell + Fragnesia = Root

這起攻擊結合兩組漏洞：

PHP2Shell（CVE-2026-109618／109619）

PHP 的兩個未經身分驗證遠端程式碼執行漏洞，CVSS 評分 9.2。攻擊者利用 PHP 的 session.upload_progress 機制，針對防火牆的 appweb 管理伺服器發動攻擊。

目標防火牆作業系統使用 PHP 8.0.30，且設定了高記憶體限制，這讓 PHP2Shell 的記憶體破壞階段能夠成功觸發。

本站先前已在 2026-10-25 與 2026-10-27 的報導中拆解過 PHP2Shell 漏洞的技術細節與野外利用情況。

Fragnesia（CVE-2026-46300）

Linux kernel 本地權限提升漏洞，CVSS 評分 7.8。攻擊者在取得初始程式碼執行權限後，利用這個漏洞將權限提升到 root。

客製化 Exploit

Dream 強調，攻擊者使用的 PHP2Shell exploit 是客製化、非公開版本，不是已知公開 exploit 的複製品。

「我們取得的實作是一個客製化、非公開的版本，不是任何已知公開 PHP2Shell exploit 的複製。它遵循相同的底層概念，但看起來是獨立開發並專門針對目標防火牆平台調整。」

這代表攻擊者具備：

1. 深入理解 PHP2Shell 漏洞原理
2. 針對特定目標平台調整 exploit 的能力
3. 可能使用 AI 工具輔助 exploit 開發

攻擊流程：從掃描到 root

Dream 重建的攻擊流程顯示這是一次高度自動化、目標明確的行動。

第一步：掃描與篩選（19,000 → 240）

1. 使用 FOFA 識別目標：掃描全球約 19,000 台面向網際網路、暴露管理介面的特定廠商防火牆。

2. 客製化版本掃描器：執行版本掃描，確認哪些裝置在線、執行什麼作業系統版本。約 5,000 台裝置回應版本資訊。

3. 地理與版本過濾：攻擊者將目標限縮為：

   • 位於美國、日本、台灣、南韓
   • 執行較新版本分支、跑 PHP 8.0.30

   最終篩選出 240 個目標。

第二步：自動化批次攻擊（240 → 25）

目標清單被輸入到一個自動化批次 runner，執行以下動作：

1. 利用 PHP2Shell-Fragnesia 攻擊鏈
2. 在防火牆的公開可存取目錄植入 PHP webshell
3. 驗證 root 存取權限
4. 將目標的主機名稱與 IP 記錄到 CSV 檔案

這一步成功 root 24 台伺服器。

第三步：針對美國政府機構（24 → 25）

在成功 root 的 24 台伺服器中，2 台被識別為屬於美國政府關聯組織。

2026 年 10 月 23 日 18:14 UTC：第一台政府主機被 root 後不久崩潰，再也沒有上線。

2026 年 10 月 24 日 10:09 UTC：攻擊者發動專門行動，成功 root 第二台政府主機。

攻擊者在第二台主機上建立持久通道：透過反向 SSH 隧道將被入侵的防火牆連回攻擊者的基礎設施。

2026 年 10 月 24 日 11:35 UTC：透過這個隧道，攻擊者入侵第三台政府伺服器——一台內部防火牆管理伺服器，只能透過隧道存取。

至此，被 root 的伺服器總數達到 25 台。

第四步：攻擊 Active Directory

攻擊者透過持久隧道進入內部網路後，開始針對 Active Directory 發動攻擊：

1. 解密 LDAP 服務帳號密碼
2. 列舉使用者帳號
3. 使用組織主題密碼進行密碼噴灑攻擊（password spraying），嘗試竊取憑證
4. 嘗試建立 Active Directory 後門帳號

Dream 表示：「受影響裝置執行特定版本的大型廠商防火牆軟體。攻擊者接著針對 Active Directory 發動攻擊。取得的 artifacts 確認了憑證竊取與目錄列舉。」

攻擊結果未明

目前不清楚攻擊者是否成功找到有效憑證或建立後門帳號。因此，入侵的完整範圍仍無法確定。

Dream 補充：「另外 22 台被 root 的防火牆仍處於停滯狀態，webshell 仍在運行。進入美國政府組織的持久隧道很可能仍在運行。攻擊者仍有 19,000 個已指紋識別的目標，可以在他們為其他作業系統版本開發 profile 時重新訪問。」

AI 輔助攻擊的證據

Dream 從攻擊基礎設施與程式碼特徵判斷這是 AI 輔助攻擊。

安裝的 AI 工具

攻擊者的基礎設施中發現：

1. Anthropic Claude Code：AI 程式設計助手
2. FOFA API 金鑰：中國網路空間搜尋引擎
3. aiscan：AI 驅動的攻擊安全平台，配置了 DeepSeek 與 Kimi 大型語言模型

程式碼特徵

Dream 分析近 40 個腳本，發現：

• 程式碼結構一致
• 註解風格統一
• 高度一致性

這些特徵顯示使用 AI 增強開發流程。

中國歸因

Dream 以中等到高信心將攻擊歸因於中國國家級行為者，理由如下：

1. 地理目標分布：美國、日本、台灣、南韓是中國在太平洋戰區的四個主要戰略對手與情報目標。

2. 使用中國工具：FOFA 是中國開發的網路空間搜尋引擎；aiscan 使用的 DeepSeek 與 Kimi 都是中國開發的 LLM。

3. 目標類型：政府機構、關鍵基礎設施（防火牆）。

4. 高度組織化：從掃描、篩選、自動化攻擊到後續 Active Directory 滲透，顯示專業化與資源充足。

PHP2Shell：從 PoC 到實戰的挑戰

有趣的是，報導末尾引述地下論壇 XSS 上的討論，一名使用者（c0d3x）抱怨 PHP2Shell 在實戰中很難利用：

「實際上它是無法利用的垃圾。要利用真實目標，你需要 libphp.so 的 offset，這對每個建置都是唯一的且無法暴力破解。你可以在自己的測試環境重現，或者如果你已經有存取目標檔案系統的權限。」

但 Dream 的發現證明：針對特定平台客製化 exploit 是可行的。攻擊者針對特定廠商防火牆的 PHP 8.0.30 建置開發專屬 exploit，避開了「每個建置 offset 不同」的問題。

這也解釋為什麼攻擊者在掃描階段花這麼多功夫篩選目標：他們需要找到版本與組態完全符合其 exploit 的目標。

如何偵測與防禦

立即檢查

1. 防火牆管理介面是否暴露於網際網路

   最簡單的防禦是：管理介面不應該暴露在網際網路上。限制為內部網路或 VPN 存取。

2. PHP 版本

   檢查防火牆或其他裝置內建的 PHP 版本：

   php -v
   

   修補版本：8.5.12、8.4.27、8.3.36、8.2.35

3. Linux kernel 版本

   確認是否已修補 CVE-2026-46300（Fragnesia）。

4. PHP webshell

   檢查防火牆的公開可存取目錄（例如 /var/www/html/、/pub/）是否有不該存在的 PHP 檔案。

5. 反向 SSH 隧道

   檢查是否有異常的 SSH 連線連到外部 IP：

   netstat -tnp | grep ':22'
   ss -tnp | grep ':22'
   

6. Active Directory 異常

   檢查 AD 日誌中是否有：

   • LDAP 服務帳號密碼被存取
   • 大量使用者列舉
   • 密碼噴灑攻擊（短時間內多次失敗登入）
   • 新增的未授權管理員帳號

若已被入侵

如果發現被入侵跡象：

1. 隔離受影響主機：立即斷開網路連線
2. 撤銷所有可疑憑證：強制重設所有密碼
3. 關閉反向 SSH 隧道：終止所有對外的 SSH 連線
4. 移除 webshell：刪除所有可疑的 PHP 檔案
5. 稽核 Active Directory：檢查所有帳號、權限變更、後門帳號
6. 通報廠商：如果使用的是商業防火牆產品，通報廠商可能有助於取得修補或緩解措施
7. 重建主機：由於攻擊者已取得 root 權限，最安全的做法是重建主機

你可以學到什麼

站在攻擊者的角度：我用 FOFA 掃描 19,000 台防火牆，篩選出跑 PHP 8.0.30 的 240 個目標。我的 exploit 是客製化的，專門針對這個平台調整，不是從網路上下載的公開 PoC。自動化批次 runner 一台一台打，25 台被 root。美國政府機構那邊有 3 台，第一台崩潰了沒關係，我專門攻下第二台，建立反向 SSH 隧道，再從隧道打穿第三台內部防火牆。現在我在 AD 裡解密密碼、列舉使用者、噴灑密碼。另外 22 台伺服器的 webshell 還在，隨時可以回來用。

台灣也在目標清單

攻擊者篩選目標時，明確限縮為美國、日本、台灣、南韓四個地區。這代表台灣組織很可能在那 19,000 台掃描目標清單中。

若你的組織：

• 使用特定廠商的防火牆軟體（Dream 已通知該廠商但未公開名稱）
• 管理介面暴露於網際網路
• 防火牆跑 PHP 8.0.30

那你很可能已經被掃描、篩選、甚至已經被攻擊。今天就檢查。

Dream 警告：「另外 22 台被 root 的防火牆仍處於停滯狀態，webshell 仍在運行。進入美國政府組織的持久隧道很可能仍在運行。攻擊者仍有 19,000 個已指紋識別的目標，可以在他們為其他作業系統版本開發 profile 時重新訪問。」

攻擊還在進行中。