修復趨勢：暴露面與脆弱組織數量大幅下降

自 2026 年 10 月 21 日 PHP2Shell 漏洞公開披露後，Wiz 的遙測數據記錄到易受攻擊且暴露於網際網路的獨立機器每日數量減少了約 67%。

在這些暴露的脆弱機器中，執行 PHP 7.3 或更早版本（未獲得官方回溯補丁）的比例，在五天內從 8.3% 降至 5.7%。

定義為至少擁有一個暴露且脆弱實例的「顯著受影響組織」數量，在此期間減少了約 47.9%。作為參考，Wiz 數據集中有 65% 的組織使用 PHP。

這些趨勢顯示組織透過打補丁、升級、退役受影響機器及限制網路存取等方式集體降低風險。但數據未確立各修復策略的相對貢獻比例，且掃描覆蓋率與觀察人口規模也可能影響報告數值。

攻擊嘗試分析：公開開源套件未能完成利用鏈

Wiz 研究團隊觀察到兩種變體的開源利用套件（Exploit Kit），但均未在捕捉到的嘗試中完成整個利用鏈。舊版變體因請求大小超過限制或未能觸發預期的記憶體耗盡條件而失敗；新版變體雖能一致地導致 PHP 記憶體耗盡，卻無法取得繼續攻擊所需的記憶體位址。

舊版變體（Legacy Chain）的首次嘗試來自 IP 3.37.227[.]134，其請求包含約 12 MB 的填充數據，總長度超過 12 MB。由於超過 PHP 配置的 8 MB post_max_size 限制，PHP 跳過處理該 multipart 主體並記錄錯誤，導致攻擊在早期階段即失敗。

另一來自 IP 103.151.172[.]95 的嘗試針對 Roundcube 環境，試圖透過發送包含 1,001 個欄位的請求來進行堆疊整形（Heap-shaping），但未觸發必要的記憶體耗盡流程。

新版變體（Current Chain）被多數 IP 使用，其第一階段（Stage A1）成功導致 PHP 記憶體耗盡並返回 HTTP 500 錯誤，確認達到了預期的記憶體限制條件。然而，這並未證實下一階段所需的過期 Session 狀態得以保留。

技術障礙：工作程序綁定與環境差異導致洩漏失敗

利用鏈依賴連續的攻擊請求到達同一個 Apache 子工作程序（Worker），以維持 Session 狀態。攻擊套件嘗試透過佔用其他工作程序的未完成請求來提高命中率，例如 IP 178.249.214[.]6 曾開啟 399 個連接並發送 400 個 GET 請求。

第二階段（Stage B1）試圖從 Response Cookie 中洩漏堆疊與 libphp 位址，但在所有捕捉到的執行中均失敗。多數情況下連接無回應即關閉，僅有一次返回正常的 Session Cookie，且無來源發送最終的利用階段。

失敗原因部分歸因於環境差異：攻擊套件的 B1 佈局是針對官方 php:8.4.26-apache 映像檔與 128 MB 記憶體限制計算的，但其他實例（如 Wiz 的 Roundcube 蜜罐）雖使用相同 PHP 版本，卻來自不同建置、額外擴充模組及 64 MB 記憶體限制。這些差異影響堆疊佈局與記憶體重用，導致洩漏無法按預期運作。

此外，請求超時與網路延遲足以阻止利用鏈在網際網路連接上完成。目前尚未發現能跨不同部署環境可靠解決工作程序綁定或資訊洩漏的通用方案。

誤導性工具：標榜 PHP2Shell 卻依賴舊技術與應用漏洞

Wiz 觀察到一些標榜為 PHP2Shell 利用的工具，實際上並未嘗試利用這兩個 PHP 核心漏洞。例如來自 IP 85.11.187[.]35 的流量匹配一個 Go 語言移植的「Chain A」工具。

該工具使用長期的 Session Poisoning 技術，試圖透過 upload-progress 功能將 PHP 程式碼寫入 Session 檔案，然後嘗試包含該 Session 檔案以執行程式碼。

關鍵在於，該工具依賴一個名為 lfi_sink.php 的易受攻擊端點，這是概念驗證實驗室環境提供的。若目標不存在此端點或等價的本地檔案包含（LFI）漏洞，該鏈無法執行程式碼。因此，這類活動依賴的是不相關的技術與應用程式漏洞，而非 PHP2Shell 本身。

外部證據與社群觀點：特定環境下的成功案例

Wiz 指出，Adel Karimi 的公開報告提供了目前最有力的公開證據，顯示在其蜜罐上關聯了利用流量、記憶體洩漏與後續的程式碼執行。然而，這些目標使用了有利的單工作程序 Apache mod_php 配置，因此該發現並未確立在其他部署環境中的可靠性。

社群評論指出，雖然 Wiz 的遙測未見成功利用，但漏洞本身已在其他場合（如 Steal my Bitcoin 挑戰）被成功利用。Trail of Bits 的 Dan Guido 聲稱擁有「通用」利用方法，但此說法尚未經 Wiz 驗證。

另有觀點認為，將 PHP 移植到 Fil-C 等安全語言可將這些利用轉化為僅造成服務拒絕（DoS），從而緩解風險。