2026-10-24 13:38:43 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

PHP2Shell 漏洞席卷全球：当未知漏洞来袭，安全防护能否不再依赖规则更新？

原创

值得信赖的
值得信赖的

安芯网盾

2026年10月23日 21:29
北京

去阅读

安芯神甲行为检测无需针对PHP2Shell 升级检测规则，即可识别攻击链中的恶意行为。

一、PHP2Shell 爆发：一场针对互联网基础设施的安全危机

2026 年 10 月 21 日，PHP 官方紧急发布安全更新，修复两项严重远程代码执行漏洞：CVE-2026-109618 和 CVE-2026-109619，业界将其统称为 PHP2Shell。

两项漏洞的 CVSS 4.0评分均达到 9.2，威胁直指 PHP 语言运行时本身。

与常见的 Web 应用漏洞不同，PHP2Shell 的问题并非出现在某个具体业务系统、CMS 插件或应用框架中，而是存在于 PHP 底层运行机制。这意味着，使用存在漏洞的 PHP 版本运行的 Web 应用，即使自身业务代码没有明显安全缺陷，也可能面临远程代码执行风险。随着漏洞信息提前泄露，全球安全社区迅速进入应急响应状态。Amazon Threat Intelligence 更是在其威胁监测系统中发现，早在漏洞正式披露前四天，就已经出现相关攻击尝试。

从漏洞尚未公开，到攻击代码出现，再到大规模安全排查，企业可用于风险研判和应急处置的时间窗口可能进一步收窄。

这场事件再次提出一个值得思考的问题：

当攻击者开始利用一个尚无特征规则、甚至尚未公开的漏洞时，现有安全防护体系还能否有效工作？

二、无需针对性规则升级，安芯神甲为何能够检测 PHP2Shell？

针对 PHP2Shell 攻击场景，安芯神甲进行了运行时安全能力验证。

在未新增 PHP2Shell专项漏洞特征、未升级原有检测规则的情况下，产品依托现有能力，即可识别测试攻击链中的异常行为。

这并非因为产品事先掌握了PHP2Shell 漏洞的特征，而是因为采用了不同的威胁检测思路。

传统漏洞特征检测主要关注攻击者“使用了什么攻击方法”，通过请求内容、漏洞特征、Payload 或攻击模式，判断是否存在已知攻击。

而运行时行为检测进一步关注的，不是攻击者从哪个漏洞进入，而是最终试图让程序执行什么操作？

攻击者可以不断寻找新的漏洞入口，改变 Payload 的编码方式，甚至利用复杂的内存破坏技术绕过传统特征识别。但当攻击真正开始影响系统时，往往会表现为一些具有安全意义的运行时行为，例如异常系统命令执行、非常规进程创建、可疑内存代码执行、恶意文件操作等。这些行为与漏洞编号无关，却直接反映攻击意图及其可能造成的危害。安芯神甲的技术思路，正是通过对应用运行时系统行为的持续监测，在关键风险操作发生时发现异常。

不依赖 PHP2Shell 专项规则，并不意味着不需要安全检测逻辑，而是将检测依据从具体漏洞特征，延伸到了更具通用性的危险行为。

这也是产品面对未知漏洞时能够形成持续检测能力的重要原因。

三、技术解析：PHP2Shell 如何实现远程代码执行？

PHP2Shell 的特殊之处，在于其利用的是 PHP 核心的内存安全问题。

其中，两类漏洞分别涉及：

CVE-2026-109618：内存不足处理过程中的状态破坏。

当攻击者构造特殊的 HTTP请求，触发 PHP 在处理请求时发生内存分配失败，部分尚未正确初始化的内部数据可能被后续清理流程错误使用，最终造成内存破坏，并可能被利用实现远程代码执行。

CVE-2026-109619：跨请求残留状态引发的 Use-After-Free。

PHP 工作进程通常会连续处理多个 HTTP 请求。在特定异常条件下，前一次请求使用的部分内部状态没有被正确清理，但相关内存已经释放。

当后续请求由同一个工作进程处理时，PHP 可能重新使用这些失效状态，触发 Use-After-Free（释放后使用）问题。攻击者通过精心构造内存布局，可能进一步控制程序执行流程。

以涉及文件上传进度管理的攻击路径为例，其关键过程可以概括为：

1.构造恶意上传请求。攻击者通过特殊的multipart/form-data请求，触发 PHP 内部的文件上传进度和会话状态处理逻辑。

2.制造异常内存状态。利用请求处理中的异常中断或内存错误，使部分内部状态在请求结束后仍然残留。

3.通过后续请求触发漏洞。当同一个 PHP 工作进程再次处理特定请求时，可能访问此前已经失效的内存数据。

4.实现恶意代码执行。在成功控制程序执行流程后，攻击者可能进一步执行系统命令、窃取数据或植入恶意程序。

需要注意，PHP2Shell并非普通的“上传 PHP WebShell 文件后直接访问”漏洞。攻击者利用的是 PHP 解释器内部的内存管理缺陷，恶意命令执行只是可能产生的最终结果之一。

这也让 PHP2Shell 成为观察运行时安全技术价值的典型案例。

四、从漏洞入口到危险行为：神甲如何发挥作用？

传统边界检测需要分析HTTP 请求的内容及特征。

但当攻击进入 PHP 解释器内部，尤其涉及运行时状态异常时，仅依靠请求特征很难完整判断攻击是否已经成功。

神甲则将安全检测能力部署到应用运行环境中，通过监控关键执行行为，获取更接近攻击实际结果的安全信息。以 PHP2Shell 可能造成的系统命令执行为例：攻击者最终可能通过 PHP 运行进程触发命令执行，或产生其他异常的系统级执行行为。

深入应用运行时，识别真实执行行为

安芯神甲基于 PHP 运行时插桩技术，在应用执行过程中，对不可信输入及其传播过程进行持续跟踪。当来自 HTTP 请求参数等外部输入的数据经过应用内部处理后，进入系统命令执行等关键操作点时，产品能够结合数据来源、传播过程和执行参数进行安全检查。

例如，一段看似普通的请求参数，经过多次变量传递、字符串处理或动态调用后，最终被用于执行操作系统命令。对于单纯依靠 HTTP 请求特征的检测机制而言，这类攻击可能难以通过单次请求检查准确判断。但神甲能够在受监控的关键执行点获取实际参数及相关上下文，判断操作是否存在远程命令执行风险。

这意味着，检测不再仅仅依赖攻击载荷最初呈现的形式，而能够深入到程序真正执行危险操作的位置。

监控关键执行入口，建立通用 RCE 检测能力

安芯神甲针对 PHP 常见的系统命令执行入口建立运行时监控能力，包括：

system()、exec()、shell\_exec()、passthru()
popen()、proc\_open()、pcntl\_exec()

对于eval()、assert()等动态代码执行场景，产品同样可以依据相应安全策略进行检测。当程序调用受监控的高风险函数时，RASP 可以在执行过程中检查实际参数，结合外部输入传播关系及风险上下文进行安全判定，并按照配置生成告警或执行拦截。对于涉及反序列化数据的高风险调用场景，产品也可以结合相关参数和执行上下文进行检查。

这些监测点具有通用性，并非专门为 PHP2Shell 设置。

无论攻击最初来自文件上传漏洞、命令注入、反序列化漏洞，还是其他未知漏洞，只要利用链最终触达受监控的危险执行入口，就可能被已有的 RCE 检测机制识别。这正是安芯神甲在本次 PHP2Shell 验证中，无需新增专项规则即可发现相关攻击行为的技术基础。

从数据来源到危险操作，提高检测准确性

运行时检测的价值，并不仅仅是发现应用调用了某个危险函数。因为在实际业务中，某些系统命令执行或动态代码处理，本身可能属于合法业务逻辑。如果仅凭一次函数调用就进行拦截，很容易对正常业务产生影响。

因此，安芯神甲通过不可信输入传播跟踪，将数据来源、应用处理过程与最终危险操作相结合，辅助判断其是否具有攻击风险。

例如：

外部请求参数进入应用后，经过数据处理与变量传递，最终被用于系统命令执行。RASP 可以依据其传播关系及执行行为，识别这一过程中潜在的安全风险。相比仅依赖函数名称或固定字符串特征，这种结合运行时上下文的检测机制，更有利于区分正常业务操作与可疑攻击行为。

对于 PHP2Shell 这类未知漏洞而言，攻击入口可能是新的，但实际利用过程中触达的危险执行能力可能早已处于产品的监测范围。

五、从 PHP2Shell 看 0day 防护：比更新规则更重要的是什么？

PHP2Shell 事件暴露了传统漏洞响应机制面临的现实挑战。

当一个新的高危漏洞暴发时，企业往往需要经历漏洞信息获取、影响范围排查、补丁验证、更新部署以及安全策略调整等过程。对于运行着大量业务系统的金融、能源、政企及关键基础设施用户而言，这些工作很难在短时间内全部完成。即便安全厂商能够迅速发布新的检测规则，企业依然可能面临规则下发延迟、策略适配及业务变更窗口等问题。而且，漏洞利用技术也在持续演变。同一个漏洞可能出现不同的利用链、不同的 Payload，甚至不同的攻击结果。因此，面对 0day 漏洞，安全体系需要同时具备两种能力：

快速响应已知威胁：及时掌握漏洞信息、修复受影响组件，并通过专项策略降低暴露风险。
持续发现未知攻击：即使尚未掌握漏洞特征，也能通过运行时行为和内存活动识别攻击可能产生的异常。

安芯神甲对PHP2Shell 已验证攻击链的检测，体现的是第二种能力的价值。这种能力并不以漏洞公开为起点，也不完全受制于漏洞特征的更新速度。当然，运行时防护不能替代软件安全更新。及时安装 PHP 官方补丁，仍然是消除PHP2Shell 根本漏洞风险的必要措施。运行时安全的价值，在于为补丁尚未部署、未知变种出现以及攻击已进入执行阶段等场景提供额外防线。