PHP2Shell 掃描瞄準 216 台主機：網站與設備管理員須盤點更新
資安業者 Cyfirma 指出，疑似與北韓 Lazarus 組織有關的攻擊者，自 10 月 22 日起針對 PHP2Shell 漏洞作偵察，從全球篩選出 216 台疑似尚未修補或只採取部分緩解措施的主機。iThome 報道稱，攻擊者利用 21 個已遭入侵的節點，分批而且以低頻方式掃描；截至 10 月 24 日，約三分之一目標已被掃描。
這批活動屬於找尋可利用目標的階段，並不代表全部 216 台主機已被入侵，亦沒有資料顯示香港有受害機構。可是，香港自設 PHP 網站的企業、電商，以及使用含受影響 PHP 元件的網絡或儲存設備，應把事件視為一次具體的資產盤點提示。
掃描為何值得警惕
iThome 指出，研究人員曾在蜜罐中觀察到有人成功利用 PHP2Shell 的 CVE-2026-109618 與 CVE-2026-109619，在 server 執行 Shell 指令。該次觀察的環境是 PHP 8.4.26 配合 Apache mod_php；攻擊流程先藉異常大型的 PHPSESSID Cookie 取得 RAM 資訊，再調整請求內容以完成利用，後續可調用 PHP CLI、curl 及 wget。
Cyfirma 所見的掃描者亦會在遭入侵節點運行以 PHP 編寫的 Webshell，並嘗試濫用上傳進度功能污染資料。低頻率及分批掃描的含意是，單靠短時間流量尖峰或單一 IP 封鎖，未必足以發現早期偵察；不過，這仍是資安業者的歸因與觀察，不能直接推論為 Lazarus 已對特定機構成功入侵。
受影響面不只網站
iThome 報道指，風險不局限於一般網站 server。若產品內含受影響的 PHP 版本，防火牆、VPN、網絡設備、NAS、工業控制系統及資安管理工具也可能受波及。Asustor、Citrix、Check Point、Cisco、Palo Alto Networks、QNAP、Synology 及趨勢科技等廠商已陸續說明其產品狀況或提供修補、緩解資料；部分產品的影響仍在調查，或等待更新。Moxa、鼎新數智及 Zyxel 則已確認若干相關產品不受影響。
因此，機構不宜只由公開網站的 PHP 版本入手，也應把 appliance、NAS、VPN 和管理平台納入清單，逐一比對供應商公告。產品採用 PHP 並不自動等於可被利用，實際風險仍取決於產品版本、部署方式、供應商確認結果及已安裝的修補程式。
管理員可先做的檢查
- 核對自架 PHP 環境與設備韌體／軟件版本，確認是否涉及 iThome 報道所述 CVE，並以原廠公告界定實際受影響範圍。
- 優先套用供應商正式更新；若暫未提供修補程式，按原廠指引採取可行的緩解措施，並持續追蹤更新。
- 檢查 Web server 與 PHP 日誌，留意異常大型 PHPSESSID Cookie、可疑請求模式，以及不尋常的 PHP CLI、curl、wget 或 Shell 程序執行。
- 排查網站目錄、暫存位置及設備管理介面有否未授權 Webshell、可疑上傳檔或異常帳戶；發現跡象時應保留日誌及隔離受影響系統，按既有事故應變程序處理。
下一步值得留意的是各設備供應商會否完成影響評估並釋出更新。對於沒有集中管理網站元件及網絡設備韌體的機構，這次掃描活動反映的更直接問題，是資產清單與修補狀態能否及時對應到新披露的漏洞。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 【資安日報】10月29日，北韓駭客鎖定216臺PHP主機掃描PHP2Shell漏洞，臺灣列入目標範圍 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
