Perplexity研究员Adel Karimi称在蜜罐中首次捕获PHP2Shell漏洞成功利用，攻击者执行35次Shell命令
Perplexity研究员Adel Karimi报告称，于10月24日在蜜罐陷阱中首次检测到针对PHP2Shell漏洞的成功利用活动，攻击者通过四阶段内存压力技术执行了任意代码。此前该漏洞仅处于修补和警告阶段，无公开利用记录。
上周PHP开发团队公布并修复了统称为PHP2Shell的重大安全漏洞（CVE-2026-109618、CVE-2026-109619）。发现这些漏洞的安全公司Wiz与Calif曾表示，若非借助AI力量，研究人员难以找出具有实际破坏威力的漏洞，且当时大部分传出的积极利用活动偏向侦察行为。然而，最近有研究人员在自行架设的蜜罐陷阱里，观察到攻击者成功利用该漏洞的情形。
Perplexity研究员Adel Karimi指出，他在世界协调时间10月24日晚间19时26分至31分期间，透过6个传感器在蜜罐陷阱侦测到成功利用PHP2Shell的活动。攻击者一共借此执行35次Shell处理程序，于执行PHP 8.4.26并搭配Apache mod_php的蜜罐陷阱里，透过Apache的特定处理程序启动/bin/sh。这是首度有人成功利用PHP2Shell并取得执行任意程式码的能力。
从攻击来源来看，这次活动一共有两个来源IP位址15.204.59[.]70、162.35.99[.]94。其中一个IP位址仅触发3次Shell执行，另一个IP位址执行的活动较为多元，包含使用PHP CLI、curl、wget等工具，后续并加入动态身分识别检查工作。两个IP位址的活动共用范本、主体杂凑值等特征，但并未共用控制机制，究竟是同一组人马所为，或是由不同的攻击者发起，Adel表示目前仍无法确定。