PHP2Shell 的實際攻擊終於落到網通設備上。以色列資安公司 Dream 揭露，一個疑似中國背景的攻擊者自製 PHP2Shell 攻擊程式，再串接 Linux 核心提權漏洞 Fragnesia，攻下 25 台 Palo Alto Networks PAN-OS 防火牆與管理伺服器，目標只鎖定美國、日本、台灣與南韓。數發部資安署 10/29 晚間也發布說明，呼籲機關與企業立刻檢查防火牆、網通設備的管理介面是否對外開放。
事件經過
- 10/8 起：依 Dream 整理的時間軸，攻擊者開始建置攻擊基礎設施。
- 10/23–10/24（UTC）：攻擊者以自動化腳本批次攻擊，共攻下 24 台 PAN-OS 防火牆並植入 webshell；其中兩台屬於美國政府相關單位，攻擊者再透過反向 SSH 通道進入內網，用同一套手法攻下內部的防火牆管理伺服器，總數達 25 台。
- 10/26：Dream 發布報告，10/29 更新內容；Palo Alto Networks 旗下 Unit 42 已獨立驗證攻擊工具與結果，將此活動編號為 CL-UNK-1280，並陸續釋出修補版本。
- 10/28：美國 CISA 將 Fragnesia（CVE-2026-46300）列入「已遭利用漏洞清單」（KEV）。
- 10/29：資安署與資安院說明，此類設備管理介面多數預設不對外開放，但已對外開放且未修補者仍有風險，應儘速檢視設定並更新。
重點
| 項目 | 內容 |
|---|---|
| 漏洞 | PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）＋ Fragnesia（CVE-2026-46300，Linux 核心提權） |
| 受攻擊設備 | Palo Alto Networks PAN-OS 防火牆的管理網頁伺服器（同時承載 GlobalProtect 入口） |
| 被鎖定版本 | PAN-OS 12.1、12.2（內含 PHP 8.0.30）；11.1 有部分測試紀錄 |
| 攻擊條件 | 管理介面暴露在網際網路，不需帳密，一個 HTTP 請求串完兩個漏洞，全程不到 15 分鐘 |
| 規模 | 透過 FOFA 找出約 1.9 萬台對外 PAN-OS，約 5,000 台回應版本資訊，篩出 240 台目標，攻下 24 台防火牆＋1 台內部管理伺服器 |
| 入侵後行為 | 22 台只留 webshell「停車待用」；美國政府相關單位遭解密 LDAP 服務帳號、列舉整個 AD、密碼噴灑、嘗試建立後門帳號與竊取 SAML 簽章金鑰 |
| AI 跡象 | 攻擊主機裝有 Claude Code，以及設定 DeepSeek、Kimi 模型的攻擊平台 aiscan；Dream 表示沒有直接證據證明 AI 寫了攻擊程式，也不是全自動攻擊 |
幾個值得網管注意的細節：
- 攻擊程式不是網路上流傳的公開 PoC，而是針對 PAN-OS 量身打造，還替 9 個版本各做了記憶體位址設定檔。資安署說「難以用同一套程式大量攻擊不同版本」，在這個案例裡，攻擊者正是靠逐版建檔解決這個問題。
- 這台被攻下的防火牆，設定檔裡就有整個內網的拓樸、網域控制站、VPN 閘道與 LDAP 帳號。邊界設備一旦失守，下一站就是身分系統。
- 被攻擊的 AD 網域把帳號鎖定門檻設為 0（不鎖定），讓密碼噴灑可以無限嘗試。
- 資安署的新聞稿寫「25 部防火牆及網通設備」；依 Dream 原始報告，實際是 24 台防火牆加上 1 台內部防火牆管理伺服器。
PHP2Shell 的波及範圍不只 Palo Alto。依 iThome 整理的廠商公告，Check Point、Citrix NetScaler、F5 BIG-IP、Cisco 部分產品、HPE Aruba ClearPass、QNAP、群暉、華芸、眾至等都有受影響產品；Fortinet 有部分產品仍在調查，Zyxel、SonicWall、WatchGuard、Sophos 則表示產品不受影響。
對你的實務建議
企業 / IT 管理者
- 先查一件事：防火牆、VPN、NAS、負載平衡器的管理介面，有沒有直接對網際網路開放。有就立刻關，改成只允許特定來源 IP 或經 VPN 進入。
- 使用 PAN-OS 12.1／12.2／11.x 者，依 Palo Alto Networks 官方公告升級到對應的修補版本（各分支 hotfix 版本不同，以原廠公告為準）。
- 不要只修補就收工：Dream 指出攻擊者在 22 台防火牆上留下 webshell。曾經對外開放管理介面的設備，請依原廠公布的入侵指標（IoC）檢查，例如可公開存取的目錄中是否出現不明 PHP 檔、異常的 systemd 服務或開機腳本。
- 若懷疑設備已遭入侵，設定檔裡的 LDAP 服務帳號、VPN、憑證私鑰都應視為外洩，全面更換。
- AD 端檢查帳號鎖定原則（lockoutThreshold 不要設 0）、MachineAccountQuota 是否仍為預設值，並監控大量失敗登入與新建帳號。
- 盤點所有內嵌 PHP 的設備與軟體（防火牆、NAS、監控、OT 系統），對照各原廠 PHP2Shell 公告逐一處理。
一般用戶
- 家用 NAS（QNAP、群暉、華芸）請到系統更新或套件中心更新 PHP 相關元件，並關閉從外網直連管理頁面的設定，例如 UPnP 自動開埠。
- 家用路由器的「遠端管理」功能沒用到就關掉，管理密碼不要用預設值。
- 公司 VPN 用戶近期若收到要求重設密碼的通知，請透過公司內部管道確認，不要點信件裡的連結。
資料來源
- Dream Research：Chained PHP2Shell Exploit Roots 25 Servers（2026/10/26，10/29 更新）
- The Register：Suspected Chinese attackers built a custom PHP2Shell exploit and rooted 25 servers（2026/10/29）
- SecurityWeek：China-Linked Hackers Exploit PHP2Shell to Root Firewalls
- 中央社：網通設備恐受PHP漏洞影響 資安署籲檢視設定儘速更新（2026/10/29）
- 經濟日報：網通設備受PHP漏洞影響 資安署籲各機關密切注意更新並儘速修補（2026/10/29）
- iThome：PHP2Shell漏洞影響多家IT與OT廠商的產品，相關公告陸續出爐（2026/10/29）
發表留言