PHP2Shell 披露后：暴露面掉了六成，野外利用一次也没打穿
来源：wiz.io — 2026-10-27
📋 概述
Wiz 上周披露 PHP 的两个高危漏洞（CVE-2026-109618、CVE-2026-109619）后持续监测野外利用。结论是暴露面在快速收缩，而攻击还没跑通。披露后几天，暴露在公网且受影响的机器数量下降约 67%，受影响组织下降约 47.9%，运行 PHP 7.3 及更早版本的占比从 8.3% 降到 5.7%。蜜罐里抓到的两类活动都失败了：老版开源利用链因请求体 12.6MB 超过 8MB 的 post_max_size 而整包未被解析；新版能稳定耗尽 PHP 内存，但泄漏进程内存拿地址那一步每次都失败。攻击者还会用大量「声明大 body 只发一字节」的挂起连接占住 Apache worker，逼后续请求落在同一子进程上。
🔑 核心要点
- 修复速度罕见：披露后暴露主机数降约 67%，受影响组织降约 47.9%，PHP ≤7.3 占比 8.3%→5.7%。
- 老利用链败在配置：请求 12.6MB、1005 个 part，直接撞上 8MB 的 post_max_size 被跳过。
- 新利用链能稳定耗尽内存，但内存泄漏那一步每次都失败，至今没有公开的端到端 PoC。
- 手法细节：用 399 条挂起连接加 400 个 GET 抢占 worker，企图让连续请求命中同一个 Apache 子进程。
💡 金句
Allowed memory size of 134217728 bytes exhausted (tried to allocate 81920 bytes)
👍 0
👎 0
← 返回 Hacker News 首页