PHP2Shell 結合 Linux 提權打穿 25 台伺服器：
AI 協助攻擊、3 台美國政府機構主機被 root

速讀：5 分鐘掌握重點

為什麼現在很紅：攻擊者用 FOFA 掃描 19,000 台防火牆，篩選出 240 個目標，用 AI 寫的 exploit 自動化攻擊，25 台伺服器被 root。其中 3 台是美國政府關聯機構，攻擊者已建立持久隧道、解密 LDAP 密碼、嘗試建立 Active Directory 後門帳號。

一句話結論: 以色列資安公司 Dream 於 2026 年 10 月 28 日揭露疑似中國行為者利用 PHP2Shell（CVE-2026-109618／109619，CVSS 9.2）結合 Linux kernel 提權漏洞 Fragnesia（CVE-2026-46300，CVSS 7.8）攻擊特定廠商防火牆軟體，在美國、日本、台灣、南韓 root 25 台伺服器。攻擊者開發的 exploit 為客製化、非公開版本，針對防火牆平台的 PHP 8.0.30 與高記憶體限制環境特別調整。
他要的是什麼: 我用 FOFA 掃描 19,000 台防火牆，篩選出跑 PHP 8.0.30 的 240 個目標。我的 exploit 是客製化的，不是公開的 PoC 複製品，專門針對這個防火牆平台調整。自動化批次 runner 一台一台打，25 台被 root。美國政府機構那邊有 3 台，第一台崩潰了沒關係，我專門攻下第二台，建立反向 SSH 隧道，再從隧道打穿第三台內部防火牆。現在我在 Active Directory 裡解密密碼、列舉使用者、噴灑密碼、嘗試建後門帳號。另外 22 台伺服器的 webshell 還在，隨時可以用。
你今天做一件事: 今天檢查你的防火牆管理介面：有沒有暴露在網際網路上、跑的是不是 PHP 8.0.30、有沒有可疑的 PHP webshell。如果你是美日台韓的組織，你很可能在那 19,000 台掃描目標清單裡。檢查 Active Directory 日誌：有沒有 LDAP 密碼解密、密碼噴灑、新增後門帳號。檢查有沒有反向 SSH 隧道連到外部。直接去做 →
哪些能信: 7 可證明3 推論2 缺口 每個主張都標了等級，缺口是誠實寫出來的。

破口速查: 受害端一律去識別化；寫「未公開」代表公開資料查不到。
伺服器服務商: 25 台伺服器被 root（美國、日本、台灣、南韓），其中 3 台為美國政府關聯環境
網路服務商: 目標為特定廠商防火牆軟體的暴露管理介面（約 19,000 台面向網際網路）
漏洞出現的地方: PHP2Shell（CVE-2026-109618／109619）攻擊防火牆的 appweb 管理伺服器（PHP 8.0.30）；Fragnesia（CVE-2026-46300）Linux kernel 本地提權至 root；之後透過反向 SSH 隧道進入內部網路，攻擊 Active Directory
馬上自我檢測: 檢查防火牆管理介面是否暴露於網際網路檢查 PHP 版本是否為 8.0.30 或其他受影響版本檢查 Linux kernel 版本是否已修補 CVE-2026-46300 檢查是否有 PHP webshell 在公開可存取目錄檢查是否有異常的 SSH 反向隧道檢查 Active Directory 日誌中是否有 LDAP 密碼解密、使用者列舉、密碼噴灑攻擊
漏洞修補方式: 立即更新 PHP 至修補版本（8.5.12、8.4.27、8.3.36、8.2.35）更新 Linux kernel 至修補 CVE-2026-46300 的版本將防火牆管理介面限制為內部網路或 VPN 存取若已被入侵：撤銷所有可疑帳號與憑證、關閉反向 SSH 隧道、重建受影響主機

有 15 分鐘再看：其餘 2 點

攻擊流程：使用 FOFA 掃描 19,000 台面向網際網路的防火牆管理介面 → 客製化版本掃描器篩選出 5,000 台在線裝置 → 過濾出美日台韓的 240 個目標 → 自動化批次 exploit runner 利用 PHP2Shell-Fragnesia 攻擊鏈植入 webshell、驗證 root 存取並記錄到 CSV → 25 台成功。其中 2 台被識別為美國政府關聯組織，攻擊者在一台崩潰後專門針對第二台成功 root，並透過反向 SSH 隧道入侵第三台內部防火牆管理伺服器。
攻擊基礎設施顯示 AI 輔助特徵：安裝 Anthropic Claude Code、配置 FOFA 與 aiscan API 金鑰（aiscan 為 AI 驅動攻擊平台，使用 DeepSeek 與 Kimi LLM）；近 40 個腳本的程式碼結構、註解風格與一致性顯示 AI 增強開發。攻擊者針對 Active Directory 解密 LDAP 服務帳號密碼、列舉使用者、使用組織主題密碼進行密碼噴灑、嘗試建立後門帳號。目標地理分布（美日台韓）符合中國國家級網路行動在太平洋戰區的主要戰略對手與情報目標。

以色列資安公司 Dream 揭露疑似中國行為者利用 PHP2Shell（CVE-2026-109618／109619）結合 Linux kernel 提權漏洞 Fragnesia（CVE-2026-46300），在美國、日本、台灣、南韓 root 25 台伺服器，包括 3 台美國政府關聯環境主機。攻擊者使用 Anthropic Claude Code、FOFA、aiscan 等 AI 工具輔助 exploit 開發與自動化攻擊，已建立持久 SSH 隧道進入內部網路並嘗試 Active Directory 權限提升。

PHP2Shell-Fragnesia 攻擊鏈 root 25 台伺服器，入侵美國政府關聯網路（2026-10-25 觀測）·2026-10-23 至 2026-10-24（攻擊發生）→ 2026-10-28 Dream 揭露·全文 10 分鐘

本篇目錄

發生了什麼

想像你管理一台企業防火牆，管理介面暴露在網際網路上以便遠端維護。防火牆內建一個 web 管理伺服器，跑 PHP 8.0.30。你以為防火牆會保護內部網路，但攻擊者先打穿防火牆本身——利用 PHP2Shell 漏洞拿到程式碼執行權限，再用 Linux kernel 提權漏洞拿到 root，植入 webshell，建立反向 SSH 隧道連回攻擊者的基礎設施，然後透過隧道進入內部網路，開始攻擊 Active Directory。

2026 年 10 月 28 日，以色列資安公司 Dream 揭露一起由疑似中國行為者發動的攻擊，結合 PHP2Shell（CVE-2026-109618／109619）與 Fragnesia（CVE-2026-46300，Linux kernel 本地提權漏洞），在美國、日本、台灣、南韓 root 25 台伺服器，其中 3 台屬於美國政府關聯環境。

來源：本文整理自 The Hacker News 於 2026 年 10 月 28 日發布的報導，原始研究為 Dream 的威脅分析報告。原文連結，原文發布日期為 2026 年 10 月 28 日。

攻擊基礎設施顯示 AI 輔助攻擊特徵：安裝 Anthropic Claude Code、配置 FOFA（中國網路空間搜尋引擎）與 aiscan API 金鑰（AI 驅動的攻擊平台，使用 DeepSeek 與 Kimi 大型語言模型）。Dream 從程式碼結構、註解風格與一致性判斷近 40 個腳本是 AI 增強開發的產物。

攻擊鏈：PHP2Shell + Fragnesia = Root

這起攻擊結合兩組漏洞：

PHP2Shell（CVE-2026-109618／109619）

PHP 的兩個未經身分驗證遠端程式碼執行漏洞，CVSS 評分 9.2。攻擊者利用 PHP 的 session.upload_progress 機制，針對防火牆的 appweb 管理伺服器發動攻擊。

目標防火牆作業系統使用 PHP 8.0.30，且設定了高記憶體限制，這讓 PHP2Shell 的記憶體破壞階段能夠成功觸發。

本站先前已在 2026-10-25 與 2026-10-27 的報導中拆解過 PHP2Shell 漏洞的技術細節與野外利用情況。

Fragnesia（CVE-2026-46300）

Linux kernel 本地權限提升漏洞，CVSS 評分 7.8。攻擊者在取得初始程式碼執行權限後，利用這個漏洞將權限提升到 root。

客製化 Exploit

Dream 強調，攻擊者使用的 PHP2Shell exploit 是客製化、非公開版本，不是已知公開 exploit 的複製品。

「我們取得的實作是一個客製化、非公開的版本，不是任何已知公開 PHP2Shell exploit 的複製。它遵循相同的底層概念，但看起來是獨立開發並專門針對目標防火牆平台調整。」

這代表攻擊者具備：

深入理解 PHP2Shell 漏洞原理
針對特定目標平台調整 exploit 的能力
可能使用 AI 工具輔助 exploit 開發

攻擊流程：從掃描到 root

Dream 重建的攻擊流程顯示這是一次高度自動化、目標明確的行動。

第一步：掃描與篩選（19,000 → 240）

使用 FOFA 識別目標：掃描全球約 19,000 台面向網際網路、暴露管理介面的特定廠商防火牆。

● 可證明· 使用 FOFA 掃描
報導描述攻擊流程第一步：「Attacker uses FOFA to identify approximately 19,000 internet-facing firewalls with exposed management interfaces worldwide.」
客製化版本掃描器：執行版本掃描，確認哪些裝置在線、執行什麼作業系統版本。約 5,000 台裝置回應版本資訊。
地理與版本過濾：攻擊者將目標限縮為：
- 位於美國、日本、台灣、南韓
- 執行較新版本分支、跑 PHP 8.0.30
最終篩選出 240 個目標。

● 可證明· 地理與版本過濾
報導寫道：「The attacker filters the servers to those located in the U.S., Japan, Taiwan, and South Korea, and then limits the scope to systems that match newer release branches running PHP 8.0.30. This step yields 240 targets.」

第二步：自動化批次攻擊（240 → 25）

目標清單被輸入到一個自動化批次 runner，執行以下動作：

利用 PHP2Shell-Fragnesia 攻擊鏈
在防火牆的公開可存取目錄植入 PHP webshell
驗證 root 存取權限
將目標的主機名稱與 IP 記錄到 CSV 檔案

這一步成功 root 24 台伺服器。

第三步：針對美國政府機構（24 → 25）

在成功 root 的 24 台伺服器中，2 台被識別為屬於美國政府關聯組織。

2026 年 10 月 23 日 18:14 UTC：第一台政府主機被 root 後不久崩潰，再也沒有上線。

2026 年 10 月 24 日 10:09 UTC：攻擊者發動專門行動，成功 root 第二台政府主機。

攻擊者在第二台主機上建立持久通道：透過反向 SSH 隧道將被入侵的防火牆連回攻擊者的基礎設施。

2026 年 10 月 24 日 11:35 UTC：透過這個隧道，攻擊者入侵第三台政府伺服器——一台內部防火牆管理伺服器，只能透過隧道存取。

至此，被 root 的伺服器總數達到 25 台。

● 可證明· 針對美國政府機構的攻擊時間軸

報導詳細描述：「Two of the successfully compromised systems are identified as belonging to a U.S. government-affiliated organization. One of them crashes shortly after it was rooted on October 23, 2026, at 6:14 p.m. UTC and never comes back online. The attacker carries out a dedicated campaign to successfully root a second system on October 24, 2026, at 10:09 a.m. UTC. The attacker exploits the second system to build a persistent channel into the internal network via a reverse SSH tunnel connecting the compromised firewall back to the operator's infrastructure. At 11:35 a.m. UTC, a third government server is compromised using the same method, the only difference being that this was an internal firewall management server only reachable through the tunnel. The total number of rooted servers reaches 25.」

第四步：攻擊 Active Directory

攻擊者透過持久隧道進入內部網路後，開始針對 Active Directory 發動攻擊：

解密 LDAP 服務帳號密碼
列舉使用者帳號
使用組織主題密碼進行密碼噴灑攻擊（password spraying），嘗試竊取憑證
嘗試建立 Active Directory 後門帳號

Dream 表示：「受影響裝置執行特定版本的大型廠商防火牆軟體。攻擊者接著針對 Active Directory 發動攻擊。取得的 artifacts 確認了憑證竊取與目錄列舉。」

攻擊結果未明

目前不清楚攻擊者是否成功找到有效憑證或建立後門帳號。因此，入侵的完整範圍仍無法確定。

Dream 補充：「另外 22 台被 root 的防火牆仍處於停滯狀態，webshell 仍在運行。進入美國政府組織的持久隧道很可能仍在運行。攻擊者仍有 19,000 個已指紋識別的目標，可以在他們為其他作業系統版本開發 profile 時重新訪問。」

AI 輔助攻擊的證據

Dream 從攻擊基礎設施與程式碼特徵判斷這是 AI 輔助攻擊。

安裝的 AI 工具

攻擊者的基礎設施中發現：

Anthropic Claude Code：AI 程式設計助手
FOFA API 金鑰：中國網路空間搜尋引擎
aiscan：AI 驅動的攻擊安全平台，配置了 DeepSeek 與 Kimi 大型語言模型

程式碼特徵

Dream 分析近 40 個腳本，發現：

程式碼結構一致
註解風格統一
高度一致性

這些特徵顯示使用 AI 增強開發流程。

中國歸因

Dream 以中等到高信心將攻擊歸因於中國國家級行為者，理由如下：

地理目標分布：美國、日本、台灣、南韓是中國在太平洋戰區的四個主要戰略對手與情報目標。

● 可證明· 地理分布符合中國國家級行動
報導引述 Dream：「Since [the] U.S., Japan, Taiwan, and South Korea are the four primary strategic adversaries and intelligence targets for Chinese state-aligned cyber operations in the Pacific theater, this indicates potential nation-state adversary efforts.」
使用中國工具：FOFA 是中國開發的網路空間搜尋引擎；aiscan 使用的 DeepSeek 與 Kimi 都是中國開發的 LLM。
目標類型：政府機構、關鍵基礎設施（防火牆）。
高度組織化：從掃描、篩選、自動化攻擊到後續 Active Directory 滲透，顯示專業化與資源充足。

PHP2Shell：從 PoC 到實戰的挑戰

有趣的是，報導末尾引述地下論壇 XSS 上的討論，一名使用者（c0d3x）抱怨 PHP2Shell 在實戰中很難利用：

「實際上它是無法利用的垃圾。要利用真實目標，你需要 libphp.so 的 offset，這對每個建置都是唯一的且無法暴力破解。你可以在自己的測試環境重現，或者如果你已經有存取目標檔案系統的權限。」

但 Dream 的發現證明：針對特定平台客製化 exploit 是可行的。攻擊者針對特定廠商防火牆的 PHP 8.0.30 建置開發專屬 exploit，避開了「每個建置 offset 不同」的問題。

這也解釋為什麼攻擊者在掃描階段花這麼多功夫篩選目標：他們需要找到版本與組態完全符合其 exploit 的目標。

如何偵測與防禦

立即檢查

防火牆管理介面是否暴露於網際網路

最簡單的防禦是：管理介面不應該暴露在網際網路上。限制為內部網路或 VPN 存取。
PHP 版本

檢查防火牆或其他裝置內建的 PHP 版本：
```
php -v
```
修補版本：8.5.12、8.4.27、8.3.36、8.2.35
Linux kernel 版本

確認是否已修補 CVE-2026-46300（Fragnesia）。
PHP webshell

檢查防火牆的公開可存取目錄（例如 /var/www/html/、/pub/）是否有不該存在的 PHP 檔案。
反向 SSH 隧道

檢查是否有異常的 SSH 連線連到外部 IP：
```
netstat -tnp | grep ':22'
ss -tnp | grep ':22'
```
Active Directory 異常

檢查 AD 日誌中是否有：
- LDAP 服務帳號密碼被存取
- 大量使用者列舉
- 密碼噴灑攻擊（短時間內多次失敗登入）
- 新增的未授權管理員帳號

若已被入侵

如果發現被入侵跡象：

隔離受影響主機：立即斷開網路連線
撤銷所有可疑憑證：強制重設所有密碼
關閉反向 SSH 隧道：終止所有對外的 SSH 連線
移除 webshell：刪除所有可疑的 PHP 檔案
稽核 Active Directory：檢查所有帳號、權限變更、後門帳號
通報廠商：如果使用的是商業防火牆產品，通報廠商可能有助於取得修補或緩解措施
重建主機：由於攻擊者已取得 root 權限，最安全的做法是重建主機

你可以學到什麼

站在攻擊者的角度：我用 FOFA 掃描 19,000 台防火牆，篩選出跑 PHP 8.0.30 的 240 個目標。我的 exploit 是客製化的，專門針對這個平台調整，不是從網路上下載的公開 PoC。自動化批次 runner 一台一台打，25 台被 root。美國政府機構那邊有 3 台，第一台崩潰了沒關係，我專門攻下第二台，建立反向 SSH 隧道，再從隧道打穿第三台內部防火牆。現在我在 AD 裡解密密碼、列舉使用者、噴灑密碼。另外 22 台伺服器的 webshell 還在，隨時可以回來用。

lessons本案的 8 個教訓

01
PHP2Shell + kernel 提權 = 完整攻擊鏈：單一 RCE 漏洞不夠，攻擊者結合 PHP2Shell 與 Linux kernel 提權取得 root，這是現代攻擊的標準流程。
02
客製化 exploit 針對特定平台：攻擊者開發的 PHP2Shell exploit 是非公開、客製化版本，專門針對特定廠商防火牆的 PHP 8.0.30 建置調整，避開公開 PoC 的限制。
03
AI 輔助 exploit 開發與自動化：攻擊者使用 Claude Code、FOFA、aiscan（配置 DeepSeek 與 Kimi LLM）輔助 exploit 開發與自動化攻擊，近 40 個腳本顯示 AI 增強開發特徵。
04
高度自動化與精準篩選：從 19,000 台掃描目標篩選到 240 個，自動化批次攻擊 25 台成功，顯示攻擊者能精準識別易受攻擊的目標並大規模自動化利用。
05
防火牆本身是攻擊目標：企業防火牆的管理介面若暴露於網際網路，防火牆本身就成為攻擊跳板，攻擊者從這裡進入內部網路。
06
反向 SSH 隧道建立持久存取：攻擊者不依賴外部可達性，而是從被入侵主機建立反向隧道連回自己的基礎設施，繞過防火牆規則。
07
地理目標分布顯示國家級意圖：美日台韓是中國在太平洋戰區的主要戰略對手，攻擊者精準篩選這四個地區的目標，顯示可能的國家級行動。
08
另外 22 台 webshell 仍在運行：攻擊者成功 root 25 台後只專注於美國政府機構的 3 台，其他 22 台處於停滯狀態但 webshell 仍活躍，可能在未來重新啟動。

keywords重點學習：最需要學習的 10 個關鍵字8 個

01
PHP2Shell（CVE-2026-109618／109619）
PHP 的兩個未經身分驗證 RCE 漏洞，本次攻擊使用客製化、非公開版本針對特定防火牆平台調整。
02
Fragnesia（CVE-2026-46300）
Linux kernel 本地權限提升漏洞，攻擊者用來從初始程式碼執行提權到 root。
03
FOFA
中國開發的網路空間搜尋引擎，攻擊者用來掃描 19,000 台面向網際網路的防火牆管理介面。
04
Claude Code
Anthropic 的 AI 程式設計助手，在攻擊基礎設施中被發現，顯示 AI 輔助 exploit 開發。
05
aiscan
AI 驅動的攻擊安全平台，配置 DeepSeek 與 Kimi LLM，攻擊者用來輔助自動化攻擊。
06
反向 SSH 隧道
從被入侵主機連回攻擊者基礎設施的 SSH 連線,繞過防火牆規則、建立持久存取通道。
07
密碼噴灑（Password Spraying）
使用少量常見密碼對大量使用者帳號嘗試登入，避免觸發帳號鎖定機制，攻擊者用來竊取 AD 憑證。
08
session.upload_progress
PHP 的功能，PHP2Shell 漏洞利用此機制觸發記憶體破壞。

try today今天就可以來試試約 15 分鐘

全部唯讀，不改任何設定；做完你會知道自己有沒有同樣的破口。

檢查防火牆管理介面是否暴露於網際網路
```
從外部 IP 嘗試存取管理介面，或用 shodan/censys 搜尋組織的 IP 範圍
```
看到什麼代表什麼：若管理介面可從網際網路存取，立即限制為內部網路或 VPN 存取。
檢查防火牆內建的 PHP 版本
```
ssh 到防火牆執行 php -v 或檢視系統套件清單
```
看到什麼代表什麼：若為 PHP 8.0.30 或其他受影響版本，立即升級到修補版本（8.5.12、8.4.27、8.3.36、8.2.35）。
檢查公開可存取目錄是否有 PHP webshell
```
find /var/www/html /pub /htdocs -type f -name '*.php' -mtime -30
```
看到什麼代表什麼：列出最近 30 天內修改或新增的 PHP 檔案，檢查是否有不該存在的 webshell。
檢查是否有反向 SSH 隧道
```
netstat -tnp | grep ':22' && ss -tnp | grep ':22' && ps aux | grep 'ssh -R'
```
看到什麼代表什麼：若發現連到外部 IP 的 SSH 連線或 'ssh -R' 指令，可能是攻擊者建立的反向隧道。
檢查 Active Directory 事件日誌
```
在 Domain Controller 檢視事件 ID 4625（失敗登入）、4720（建立帳號）、4728／4732（加入特權群組）
```
看到什麼代表什麼：若短時間內有大量失敗登入（密碼噴灑）、新增的未授權管理員帳號、或異常的特權群組變更，代表可能已被入侵。
確認組織是否在目標地理範圍
看到什麼代表什麼：若位於美國、日本、台灣、南韓，檢查是否有使用特定廠商的防火牆軟體（報導未公開廠商名稱，但 Dream 已通知該廠商）。
檢查 Linux kernel 版本與 CVE-2026-46300 修補狀態
```
uname -r 並對照發行版的安全公告
```
看到什麼代表什麼：確認 kernel 版本是否已修補 Fragnesia（CVE-2026-46300）。

台灣也在目標清單

攻擊者篩選目標時，明確限縮為美國、日本、台灣、南韓四個地區。這代表台灣組織很可能在那 19,000 台掃描目標清單中。

若你的組織：

使用特定廠商的防火牆軟體（Dream 已通知該廠商但未公開名稱）
管理介面暴露於網際網路
防火牆跑 PHP 8.0.30

那你很可能已經被掃描、篩選、甚至已經被攻擊。今天就檢查。

Dream 警告：「另外 22 台被 root 的防火牆仍處於停滯狀態，webshell 仍在運行。進入美國政府組織的持久隧道很可能仍在運行。攻擊者仍有 19,000 個已指紋識別的目標，可以在他們為其他作業系統版本開發 profile 時重新訪問。」

攻擊還在進行中。

想看全部細節？

環境背景、時間線、攻擊鏈對照 ATT&CK、關鍵證據、根因、處置與檢討都在完整版，約 10 分鐘。

來源

本文為公開報導與官方公告的整理與拆解，非第一手鑑識；證據等級依來源可信度標註。

本文由 AI 團隊協助研究與撰寫，經隱私與事實檢查後發布；證據等級依來源可信度標註。

PHP2Shell CVE-2026-109618 CVE-2026-109619 Fragnesia CVE-2026-46300 AI 輔助攻擊中國政府機構 Active Directory

看完的心情

ai prompt把這篇的切入點帶回你的環境

複製下面這段，貼給你在用的 AI 工具（Claude Code、Cursor、Copilot、ChatGPT 都可以）。它會用本篇的破口位置、自我檢測與學習重點，對你的專案或環境做一次資安掃描，列出潛在問題與建議的調整或加強方式。

允許 AI 直接修正（每項修改前仍會先問我）

預設是唯讀：只發現問題、提出建議，不會改你任何檔案或設定。

對應課程模組

M2 弱點與修補管理 · M6 威脅情報 · 想在自己的環境做一次同樣的盤點，從自我盤點開始。

← 上一份CISA 將 PolyShell 與 Brotli 漏洞列入 KEV：數百個電商網站被入侵，Node.js 成為新目標下一份 →Linux kernel TCP 競爭條件：Anthropic AI 寫出 9.8 分 root exploit48 分鐘洩漏核心位址、5 分鐘取得 root shell