PHP2Shell 一覽
9.2CVSS 評分，認證前 RCE
~70%的網站使用 PHP（Wiz）
10 年以上自 5.4 起所有 PHP 均受影響
63 天從發現到修補
PHP 引擎本身的兩個 CVE（CVE-2026-109618、CVE-2026-109619）讓未認證的攻擊者能夠執行程式碼或讀取伺服器記憶體，無需任何應用程式漏洞。 Wiz Research 借助前沿 AI 發現了這些漏洞，並在 WordPress、Drupal 和 Joomla 上展示了可用的攻擊。
攻擊必須到達 PHP，OpenNHP 讓它到不了。
每條 PHP2Shell 攻擊鏈都始於一個未認證的請求。在 OpenNHP 之後，該請求在到達 PHP 之前就被丟棄。
修補競賽
攻擊者在修補出現之前就已掌握攻擊方法。隱藏的伺服器無需贏得這場競賽。
修補 vs. WAF vs. OpenNHP
| 修補 PHP | WAF 規則 | OpenNHP | |
|---|---|---|---|
| 在 CVE 公開前就有效 | ✕ | ✕ | ✓ |
| 需要攻擊特徵 | — | 是 | 否 |
| 阻止未認證 RCE | ✓ 安裝後 | ~ 已知變種 | ✓ |
| 阻止記憶體洩漏 | ✓ 安裝後 | ~ 已知變種 | ✓ |
| 對掃描器隱藏伺服器 | ✕ | ✕ | ✓ |
| 修補漏洞本身 | ✓ | ✕ | ✕ |
兩者相輔相成：OpenNHP 消除未認證的攻擊路徑，修補消除漏洞本身。修補照樣要做。
OpenNHP 適用場景
✓ 藏在 OpenNHP 之後
- 管理後台（
/wp-admin、Drupal 管理） - 內部 PHP 應用和後台系統
- 供已知用戶端使用的 API
- 預發布和管理伺服器
必須保持公開
- 面向匿名訪客的網站
- 優先修補，搭配 WAF 規則
- 隱藏其管理後台和源站存取
授權使用者仍可存取被隱藏的應用，因此 OpenNHP 把能嘗試攻擊的人從「整個網際網路」縮小到「你核准的人」。
現在該做什麼
1
修補
PHP 8.5.12、8.4.27、8.3.36 或 8.2.35，或你的發行版的修補套件。
2
盤點
列出無需面向公網的 PHP 服務。
3
隱藏
把它們放到 OpenNHP 之後，讓下一個 PHP2Shell 無處可達。
別只聽我們說，來 IETF 127 試著攻破它。
資源
需要協助隱藏你的 PHP 服務？請聯絡 [email protected].