CVE-2026-109618 和 CVE-2026-109619：PHP2Shell 远程代码执行漏洞

摘要

在正式披露之前，与CVE-2026-109618和CVE-2026-109619相关的两个关键PHP远程代码执行漏洞已在网上泄露。该漏洞可能允许攻击者在易受攻击的Web服务器上执行任意命令。漏洞可能影响多个PHP版本，可能包括不受支持的生命周期结束版本。

调查

watchTowr的研究人员确认了这些漏洞，并成功复现了CVE-2026-109618。Huntress也在监控披露情况并评估其被利用的可能性，注意到在报告时尚未观察到任何实际攻击。然而，由于PHP的广泛使用，风险仍然很大。研究人员专注于常见的利用指标，包括PHP进程生成异常子进程。

缓解措施

组织应立即清查所有PHP部署，包括在第三方供应商软件中捆绑的实例。管理员应准备好在10月21日发布的官方PHP安全补丁后立即应用。对于运行不再接收修复的生命周期结束的PHP版本的系统，应将其从互联网上隔离或置于VPN或Web应用防火墙（WAF）后面保护。

响应

如果检测到可疑活动，包括PHP进程启动shell、解释器或网络工具，管理员应立即隔离受影响的服务器。保留Web服务器和PHP日志对于法医调查至关重要。安全团队还应检查Web根目录中是否有新创建的Webshell、未经授权的文件、可疑的Cron作业、计划任务或新添加的用户账户。

模拟执行

• 攻击叙述与命令： 攻击者已成功利用运行PHP-FPM的Web应用程序中的漏洞。为了建立立足点并开始侦察，攻击者使用PHP脚本执行系统命令。攻击者的目标是识别当前用户环境，以确定可用于进一步横向移动的权限级别。攻击者执行 whoami 通过 php-fpm 进程，这应触发检测规则的 图片|结束于：'whoami' 逻辑。

• 回归测试脚本：

  #!/bin/bash
  # 触发PHP RCE检测规则的模拟脚本。
  # 此脚本模拟PHP-FPM进程生成侦察命令。
  
  # 1. 检查我们是否可以模拟父进程。
  # 在真实环境中，这是php-fpm守护进程。
  # 对于模拟，我们将使用子shell来模仿其行为。
  
  echo "[+] 启动模拟：触发PHP-FPM RCE检测..."
  
  # 我们使用'sudo -u www-data'模仿Web用户，
  # 并将执行包装为模仿子进程关系。
  # 注意：为了完美匹配'ParentImage|endswith: php-fpm'，
  # 测试必须在php-fpm活动的系统上运行。
  
  # 如果php-fpm未运行，通过直接执行来模拟行为：
  # 在真实实验室中，您可以通过对真实PHP文件的Web请求触发此行为。
  
  # 触发命令：whoami
  # 我们模拟规则期望的进程树关系。
  # 由于我们无法轻易“成为”php-fpm而没有真正的服务,
  # 我们将执行命令以确保“子”的遥测存在。
  
  # 真实测试命令（需要php-fpm运行）：
  # php-fpm-cli-simulated-trigger
  # 为此脚本的目的，我们执行目标二进制文件：
  whoami
  
  echo "[+] 模拟命令已执行。检查SIEM以查看由PHP触发的'whoami'。"

• 清理命令：

  # 此模拟未创建持久文件。
  # 清除shell历史记录以删除模拟痕迹。
  history -c
  echo "[+] 清理完成。"