[安全周报]PHP2Shell 在野利用，蜜罐捕获武器化探测与活体攻击

一、本周风险速览

🔴 PHP “PHP2Shell” 双漏洞 CVE-2026-109618 / CVE-2026-109619 —— Critical（php.net 原文：each with a CVSS v4.0 score of 9.2），未认证 RCE。10-21 14:00 UTC 随 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 发布修复（EOL 分支 7.4/8.0/8.1 亦有 backport）。CISA 于同日发布警报敦促立即修补。本站蜜罐已捕获到野生活体利用打穿真实靶面（见第八节 D3）——这不是”是否会被扫”，而是”正在被打”。所有跑 PHP 的站点立即升级。
🔴 WordPress Rank Math SEO PRO 供应链投毒 CVE-2026-111862 —— CVSS 9.8。3.0.123 部分下载包在 10-15 20:02 至 10-16 07:12 UTC（约 11 小时窗口）内被植入可自恢复后门；官方 10-16 发布 KB 并推出修复版 3.0.124。仅更新插件不能清除后门残留，需按官方指引排查 wp_options、隐藏 PHP 文件、未授权管理员与恶意 cron。
🔴 GitLab CE/EE CVE-2026-110264 —— CVSS 10.0 未授权 RCE（Onigmo 正则编译器整数溢出），10-21 随 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9 修复，仅自托管实例受影响。自托管 GitLab 立即升级；Ruby 官方 10-23 亦发布修复底层缺陷的版本（见第三节）。
🟠 Go 标准库多漏洞两批集中修复 —— net/http 响应投毒/走私（CVE-2026-56866 / 78660 / 78659 等 11 个标准库 CVE）与 Windows 目录穿越 CVE-2026-56857 随 Go 1.26.9 / 1.27.2（10-08） 修复；1.26.10 / 1.27.3（10-19）为 crypto/x509 应急修复（被入侵 CA 密钥封禁）。Ubuntu 侧对应 USN-8935-1。自编译 Go 服务（尤其反向代理/网关）尽快重编升级。
🟠 LiteLLM PyPI 供应链投毒（10-21） —— 恶意版 litellm 1.107.0 携带信息窃取器 + RAT，窃取 LLM API key、CI/CD 凭据与云令牌，恶意版本同时见于 Docker Hub。开发者侧当日排查已安装版本。
🟡 CISA KEV 本周批次 + 国内 DNS 劫持通报 —— KEV 新增 Plex Media Server 4 条、Siemens Tecnomatix、SiteGuard UE（10-20 批次）；CNCERT 通报境外 AS402425 虚假路由劫持多省 DNS 解析跳转博彩（10-20 前后）。普通站长以自查 exposures 为主，详见第四、六节。

二、系统大版本更新（重点产品专项）

PHP（PHP2Shell 专项，本周头号）

官方应对时间线（php.net 一手核验）：10-20 提前约 24 小时发布预告；10-21 14:00 UTC 发布 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 四个版本，修复 CVE-2026-109618（GHSA-w8hw-w9fx-j79w，内存损坏 RCE）与 CVE-2026-109619（GHSA-6wmf-4rv5-p3rp，陈旧全局状态 RCE），两条均为 CVSS v4.0 9.2 Critical。php.net 原文定性：“All versions of PHP that serve HTTP requests are affected”——8.1 及更早已 EOL，但官方仍为 7.4 / 8.0 / 8.1 提供 backport 修复，不再有”版本旧所以躲得掉”的侥幸。
缓解措施：CVE-2026-109619 涉及 session.upload_progress，官方确认的临时缓解为在 php.ini 设置 session.upload_progress.enabled=0（未及升级者先行）。
生态反应：CISA 10-21 发布 alert（https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching）。”全球约七成网站暴露”为 Wiz 等引用 W3Techs 口径的二手估算；”多国机构临时关站、NSA 敦促无法修补则下线”为二手报道（其中 Sophos 自家门户临时下线有实据），未见 NSA 官方声明原文，引用时以 CISA alert 为准。
站长建议：当日升级到对应修复版并重启 PHP-FPM/Apache；WordPress 站点在后台确认”站点健康”里的 PHP 版本已切换；暂不能升级的先应用 session.upload_progress.enabled=0 并检查 WAF 是否已加 PHP2Shell 特征规则（本站蜜罐捕获的可直接用特征见第八节）。

Go

10-08 批次（Go 1.26.9 / 1.27.2）：修复标准库一批 DoS/走私类漏洞，含 ASN.1 递归（CVE-2026-33818）、XML 嵌套深度（CVE-2026-56859）、TLS KeyUpdate（CVE-2026-56862）、HTTP/1 CONNECT 响应投毒（CVE-2026-56866）、HTTP/2 flow control（CVE-2026-78663）、HTTP/2 Trailer 耗尽（CVE-2026-78659）、HTTP/2 响应走私（CVE-2026-78660，另涉 golang.org/x/net，修复于 v0.57.0）、HTTP Range（CVE-2026-78667）、HTTP/2 SETTINGS 窗口（CVE-2026-78669）、HTTP/1 CONNECT 走私（CVE-2026-94439）、multipart DoS（CVE-2026-94440）等；同批修复 Windows 目录穿越 CVE-2026-56857（os.Root.Mkdir 目标为指向空位置的 junction 时可在 root 外建目录，仅限 Windows，影响 < 1.26.9 及 1.27.x < 1.27.2）。Ubuntu 侧对应 USN-8935-1（https://ubuntu.com/security/notices/USN-8935-1）。
10-19 批次（Go 1.26.10 / 1.27.3）：仅含 crypto/x509 一项应急修复——封禁被入侵 CA 的密钥链（与本周 eMudhra 证书事件呼应，见 Docker 条目），不含上述 net/http 批次。两批时间线容易混淆，特此拆清。
站长建议：以 Go 反向代理/网关/自建服务为重点——走私与投毒类漏洞在代理链上会被放大（与上期 nginx 走私类漏洞风险叠加）；用发行版包的执行 apt upgrade 跟随 USN-8935-1，自编译的重编到 1.26.9+/1.27.2+ 并同步升级 golang.org/x/net。

Docker Engine / containerd

29.9.2（10-20）：更新 Go runtime，按 CVE-2026-111943 处置 eMudhra 证书事件——拒绝包含 8 张已撤销 eMudhra/emSign 中间证书的证书链。
29.9.1（10-14）：修复 CVE-2026-95839——经 containerd transfer service 拉取/导入含畸形子描述符的恶意镜像可致 containerd 崩溃，另修复无界层数据流导致的磁盘耗尽。
站长建议：Docker Compose 跑博客（WordPress/Typecho）的用户重建镜像栈到 29.9.2+；同时确认基础镜像（尤其 PHP 镜像）已跟进 10-21 的 PHP 修复版——只升 Docker 不升镜像等于没升。信源：docs.docker.com 官方发行说明；背景分析见 Cloudflare《emudhra-certificate-compromise》。

Linux 内核（RHEL 系 / SUSE 系）

Red Hat 发布 RHSA-2026:88477（kernel，Important，RHEL 10 渠道），含 IPv4 raw、net/smc、fuse、perf UAF、XFS 边界检查等多处修复。
SUSE 侧 10-22 集中发布内核 Live Patch：openSUSE 2026-4855-1（live patch，5 项）、2026-4856-1（Live Patch 56：netfilter/KVM/iSCSI/Ceph 4 项）、SUSE-SU-2026:4871-1（SLE 15 SP7 Live Patch 9）。
站长建议：VPS 若运行 RHEL/SUSE 系，跟随发行版内核更新并重启；自编译内核用户对照官方 CVE 清单评估。核验状态：部分核验（RHSA 存在性经 Tenable 收录确认，渠道归属 RHEL 10；SUSE 各公告经 linuxsecurity 镜像交叉）。

WordPress / Nginx（无大版本，简讯）

WordPress 核心本周无新的安全发布（上期 7.1.3 仍为最新）；下一个大版本 7.2 按路线图 12 月发布。插件侧本周风云突变，见第三节专项。
nginx 无新版本；上期 1.31.7 / 1.30.6 批次本周有 F5 out-of-band 补丁跟进（K000163408，10-20），详见第三节。

三、重点产品漏洞专项

GitLab CE/EE

CVE-2026-110264（Onigmo 正则编译器整数溢出）：严重，CVSS 10.0，未授权 RCE。GitLab 官方 10-21 补丁发布：19.5.1 / 19.4.3 / 19.3.6 / 19.2.9；仅影响自托管实例，GitLab.com 不受影响。官方公告：https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released。”影响自 GitLab 7.0 起、约 12 年历史”为媒体口径（官方公告未明确给出版本起点），采纳时已标注。
联动：Onigmo 缺陷在 Ruby 本体中同样存在，Ruby 官方 10-23 发布 4.0.9 / 3.4.12 / 3.3.13 修复（关联 CVE-2026-89078 / 93577 / 97229 / 110264，https://www.ruby-lang.org/en/news/2026/10/23/regexp-fixes-for-gitlab-cves）。用 Ruby 跑自建服务的读者一并跟进。
站长建议：自托管 GitLab（含 CE）立即升级；注意单节点升级的数据库迁移停机窗口。核验状态：已核验（官方补丁公告 + CERT-EU 2026-019）。

Nginx（上期批次跟进）

上期已报的 1.31.7 / 1.30.6（10-14）五连修（CVE-2026-15176 alias+rewrite 缓冲区溢出、CVE-2026-93479 脚本求值缓冲区溢出、CVE-2026-95101 HTTP/3 请求体注入、CVE-2026-97629 TLS 会话票据伪造、CVE-2026-97205 AIO use-after-free，均为 medium，官方表详见首期周报第三节）本周新增动态：F5 于 10-20 发布 out-of-band 通知 K000163408。
站长建议：尚未升级的（尤其自行编译/第三方源）借 F5 通告再确认一次版本；已升级者无动作。核验状态：已核验（nginx.org 官方 advisory 表 + F5 通告编号）。

WordPress 插件专项（本周重灾区）

Rank Math SEO PRO 供应链投毒 — CVE-2026-111862：官方 KB《PRO 3.0.123 Security Incident》10-16 发布，确认部分 3.0.123 下载包在 10-15 20:02 – 10-16 07:12 UTC（约 11 小时窗口）被植入可自恢复后门；修复版 3.0.124。官方明确：仅更新插件不能清除后门残留，需排查：恶意 wp_options 键、隐藏 PHP 后门文件、未授权管理员账户、伪核心文件、恶意 cron。Wordfence 同步发布 PSA，BleepingComputer 等跟进。CVSS 9.8。信源（一手）：https://rankmath.com/kb/pro-3-0-123-security-incident。
站长建议：在该窗口内下载/更新过 3.0.123 的，立即按”已失陷”处置：升级到 3.0.124 只是第一步，需按官方 KB 逐项清理残留、全量轮换管理员凭据与数据库口令、核对文件完整性（可用 wp-cli core verify-checksums）。未在窗口内更新过且当前版本不是 3.0.123 的，正常升级即可。
WPVR — CVE-2026-114429：存储型 XSS，< 9.0.3 未正确过滤转义 tour hotspot 内容即前端输出，高位用户可注入脚本；CVE 约 10-24 发布。
GiveWP — CVE-2026-111979：捐赠表单模板设置未转义输出至 HTML 属性（属性型 XSS），< 4.19.0.1 受影响；4.19.0.1 于 10-22 发布修复。
Tribulant Newsletters — CVE-2026-94075：不可信数据反序列化 / PHP 对象注入（CWE-502，按 NVD 口径；注意不是”权限提升”），≤ 4.18.1 受影响，4.18.2 修复；Patchstack CNA，10-24 发布，CVSS 9.8。
站长建议：对照插件清单逐个查版本：WPVR 升 9.0.3+、GiveWP 升 4.19.0.1+、Tribulant 升 4.18.2+。三者与 Rank Math 事件一并印证：WordPress 插件仍是个人站长最高频的失陷入口，自动小版本更新务必开启。核验状态：已核验（cve.org/WPScan/NVD + 官方 changelog；其中 WPVR 的 CVE 记录页 JS 渲染不全，描述经多源快照交叉）。

Typecho（两条，一真一未核实）

SSRF — CVE-2026-7025（已核实，时间线修正）：影响 ≤ 1.3.0，var/Widget/Service.php 的 Service::sendPingHandle（Pingback 端点 /action/service?do=ping）存在未认证 SSRF（CWE-918），可向本机、内网段与云元数据发请求；CVSS 3.1 7.3（VulDB 口径）；厂商未回应、无官方补丁。时间线：原始分析 2026-03-04（wang1rrr），CVE 记录 2026-04 收录，10-16 至 10-21 为中文社区二次传播与止血文章（本期线索中的”10-16 披露”实为二次传播时间）。临时止血：Nginx 封锁 /action/service?do=ping。
未授权 RCE 通告（未核实，仅风险提示）：社区流传一份 Typecho 未授权 RCE 通告（影响 1.2.0 / 1.2.1 / 1.3.0 及期间 rc/beta；松散比较绕过令牌 + 异步服务任意方法分发；携带同源 Referer 即可匿名 POST 触发任意 PHP 回调），有第三方应急响应记录佐证其在流传；截至 10-25 未见 CVE/GHSA 编号、未见可核验的原始披露，官方亦未发布修复版。按纪律不作为已证实漏洞收录。
站长建议：用 Typecho 的先封 Pingback 端点止血并关闭相关异步服务入口；关注官方 release 页。核验状态：SSRF 已核验（NVD 原文 + 原始分析一手）；RCE 未核验（详见第九节）。

四、其他自部署 / 面板 / 桌面漏洞

分层说明：
🔴 立即处置 = 已在野利用或有完整利用链且补丁可用；
🟠 尽快安排 = 高危已修复或需缓解；
🟡 关注自查 = 需自查版本/暴露面。

🔴 立即处置

PHP2Shell（CVE-2026-109618 / 109619）——见第二节 PHP 专项与第八节蜜罐实测。本站蜜罐 D3 已捕获野生活体利用打穿真实 8.4.26/mod_php 靶面（PHP Fatal memory exhausted），在野利用确凿，不存在观望空间。
Rank Math SEO PRO 供应链投毒（CVE-2026-111862）——见第三节。窗口内更新过的按已失陷处置。
GitLab CE/EE CVE-2026-110264——见第三节。CVSS 10.0 未授权 RCE，补丁已出 5 天。

🟠 尽快安排

Go 两批漏洞（net/http 走私/投毒族 + Windows 目录穿越）——见第二节。自建 Go 反代/网关优先。
WordPress 插件三项（WPVR / GiveWP / Tribulant）——见第三节。
Typecho SSRF（CVE-2026-7025）——封 /action/service?do=ping 止血；另留意未核实的 RCE 通告（见第三节）。
Docker Engine 29.9.2 / 29.9.1（eMudhra 证书链 + 恶意镜像崩溃）——见第二节，容器栈重建。
Windows MOTW 绕过（CVE-2026-96951）——Windows Shell 安全特性绕过（CWE-77 命令注入，特制文件绕过 MOTW 警告），微软 10 月补丁日（10-13/14）修复，官方标记 Exploitation Detected（在野利用）。同批补丁日共修复约 1,414 个 CVE（Qualys 统计口径，其他口径 1,411–1,417），创单次纪录。管理站点的 Windows 工作机请完成 10 月累积更新——攻击者常以投递带毒文档绕过 MOTW 警告作为入口。核验状态：已核验（微软补丁日 + Qualys/SANS 口径）。

🟡 关注自查

Hugo 路径遍历（CVE-2026-109595 / 109596）——两条影响范围不同，须分开看：CVE-2026-109595 影响 v0.84.0 至 v0.167.0 之前，恶意主题/模块经 ESBuild fallback resolver（js.Build/js.Batch/css.Build）读取项目根之外文件；CVE-2026-109596 影响 v0.162.0 至 v0.167.0 之前（CWE-59 嵌套 mount 祖先目录符号链接逃逸，CVSS 约 5.5）。均于 v0.167.0 修复，10-12 披露。静态博客直接攻击面有限，但不可信第三方主题/模块会把构建环境的配置、密钥、环境变量带进发布产物——用了来路不明主题的 Hugo 站点升级并自查产物。核验状态：已核验（Debian Tracker + VulDB 交叉）。
baserCMS 评论短代码 XSS（CVE-2026-115457）——未认证访客在博客评论提交特定短代码，全局短代码展开在整页渲染时执行，可注入攻击者控制的脚本 URL；影响 5.0.0–5.3.1、5.4.0–5.4.1；官方 10-22 发布安全公告（https://basercms.net/security/20261022），修复 5.3.2 / 5.4.2。与 WordPress 评论类存储 XSS 同属”访客输入→后台渲染”路径，开评论的站点通用建议：评论审核开关保持开启。核验状态：已核验（官方公告 + Tenable 收录）。
CISA KEV 本周批次（10-20）——新增 6 条：Plex Media Server 4 条（CVE-2026-96652 / 96654 / 96655 / 96656：媒体文件相关 ×2、任意文件删除、SQL 注入）、Siemens Tecnomatix Plant Simulation CVE-2026-110936（越界写）、SiteGuard UE CVE-2026-106931（OS 命令注入）。个人 NAS/HomeLab 跑 Plex 的自查版本并跟随官方更新。注：BeyondTrust（零日，CVE-2026-102764）与 Ivanti Connect Secure（CVE-2026-104935）的 KEV 添加日在 10-13/16，属上期窗口，本期仅作批次回顾，不算本周新增。核验状态：已核验（CISA alert 页）。
边缘与远程支持设备（回顾）——延续上期判断：边缘设备与远程支持类产品仍是首选初始入口（本期 Storm-0940 经 ConnectWise 供应链的事件再次印证，见第六节）。相关设备保持”不暴露公网 + 尽快打补丁”。

五、托管商侧事故

上期 Hostinger 10-16 VPS 紧急维护事件无重大后续更新。
侧写：本周大型机构侧事件（PwC、日本汉堡王，见第六节）虽不直接涉及个人托管商，但 Everest 勒索团伙的名单式作业与 App 后端未授权访问两类手法对自部署服务同样适用——后者与本站蜜罐观察到的”打 App 后端不如打暴露面便宜”的扫描生态一致。

六、AI 与科技圈

微软披露 Storm-0940 借代理式 AI 框架 ARTEX 发起 ConnectWise 供应链攻击（10-21）：Microsoft Security Blog 披露，将 ConnectWise 供应链入侵归因于 Storm-0940：攻击者使用 ARTEX（agentic AI 渗透测试框架）加速作业，经 ConnectWise 凭据/OAuth 滥用访问 2,250+ 个 Microsoft 365 租户、约 2,900 次登录尝试。要点不是”AI 会黑”而是攻击节奏被 AI 压缩——与蜜罐观察到的”披露 24 小时内武器化探测上线”是同一趋势的两端。信源：Microsoft Security Blog（一手）https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise；CyberScoop / Dark Reading（二手）。
LiteLLM PyPI 供应链投毒（10-21）：恶意版 litellm 1.107.0 上架 PyPI，载荷为信息窃取器 + RAT，窃取 LLM API key、CI/CD 凭据、云令牌；恶意版本同时见于 Docker Hub；更早的 1.82.7 / 1.82.8 亦被投毒（Cycode / Trend Micro 归因 TeamPCP）；维护者公开承认被入侵。行动：pip show litellm 核对版本，装过 1.107.0（或 1.82.7/1.82.8）的按失陷处理——撤销全部 LLM API key 与云凭据。信源：Datadog Security Labs、OX Security、HiddenLayer（均一手厂商研究）。
SafePay 勒索联合咨询 AA26-293A（10-20）：CISA / FBI / USSS 联合德国、英国伙伴发布 #StopRansomware 咨询：SafePay 自 2024-08 起感染至少 600 家关键基础设施组织；标志性行为为加密前先毁备份（NAS 恢复出厂、删除卷影副本）；初始访问靠凭据滥用、VPN/防火墙漏洞与钓鱼。站长行动：备份遵守 3-2-1 且至少一份离线/不可变；shadow copy 类快照别和业务盘同机。信源：CISA https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a、IC3 PDF（一手）；Infosecurity Magazine（二手）。
PwC 遭 Everest 勒索团伙”声称”窃取 590.69GB（10-22 声称 / 10-23 确认）：Everest 于 10-22 在勒索站点挂出 PwC，声称窃取 590.69GB（含 HR/学习记录导出、Cornerstone OnDemand LMS 素材）——团伙单方声称，无样本公开、未经独立验证；PwC 于 10-23 经 Reuters 确认发生网络安全事件，涉及托管员工学习记录的第三方供应商。引用时务必区分”团伙声称的数据量”与”PwC 确认的事件本身”。信源：Reuters（一手）https://www.reuters.com/legal/litigation/pwc-confirms-cybersecurity-incident-involving-employee-learning-records-2026-10-23；团伙页面（二手转述）。
日本汉堡王约 1,118 万条会员信息泄露（10-15 官方公布）：バーガーキング・ジャパン官方公布：10-02 至 10-07 遭未授权访问，10-13 确认官方 App 约 1,118 万条会员信息泄露（氏名、电话、邮箱、性别、会员 ID 等）；信用卡信息自社不持有、未确认流出，密码未见泄露确认。注：部分中文报道提及”出生日期”字段，日媒核心报道清单未见该字段，采信官方口径。信源：Internet Watch（引官方发布）、朝日新闻、ITmedia（均一手）。
CNCERT 通报多省 DNS 劫持跳转博彩（约 10-20）：CNCERT/CC 官方通报：攻击者通过境外自治域 AS402425 宣告虚假路由（提前注册虚假前缀/AS 集合）劫持流量并篡改域名解析，多省用户访问被跳转至博彩网站；建议运营商实施 RPKI 与路由过滤。CCTV 同期报道。对站长的启示：域名解析链路也可能成为攻击面，重要服务考虑开启 DNSSEC，并留意解析异常。信源：CNCERT 官方通报（一手）、CCTV（一手央媒）。

七、本周行动清单

PHP 升级（当日）：8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 对应升级并重启 PHP-FPM/Apache；暂不能升级的设置 session.upload_progress.enabled=0；WordPress 后台确认 PHP 版本已切换
Rank Math 排查：窗口（10-15 20:02 – 10-16 07:12 UTC）内更新过 3.0.123 的按已失陷处置：升 3.0.124 + 按官方 KB 清理残留（wp_options、隐藏 PHP 文件、未授权管理员、恶意 cron）+ 轮换凭据；wp core verify-checksums 核对
GitLab 升级：自托管实例 → 19.5.1 / 19.4.3 / 19.3.6 / 19.2.9（CVE-2026-110264，CVSS 10.0）；Ruby 服务跟进 4.0.9 / 3.4.12 / 3.3.13
Go 重编升级：1.26.9+ / 1.27.2+（net/http 走私/投毒族）+ golang.org/x/net v0.57.0；Ubuntu 包用户 apt upgrade 跟 USN-8935-1；注意 1.26.10/1.27.3 只是 x509 应急、不能替代本项
插件版本对照：WPVR ≥ 9.0.3、GiveWP ≥ 4.19.0.1、Tribulant Newsletters ≥ 4.18.2、Rank Math ≥ 3.0.124
Typecho 止血：Nginx 封 /action/service?do=ping；关注官方 release（RCE 通告未核实，但止血成本低，建议先做）
容器栈：Docker Engine → 29.9.2+；确认 PHP 基础镜像已含 10-21 修复
系统更新：Ubuntu apt update && apt full-upgrade；RHEL 系跟 RHSA-2026:88477；SUSE/openSUSE 跟 live patch 三连；Windows 工作机完成 10 月累积更新（MOTW 绕过在野）
备份加固：对照 SafePay 咨询——3-2-1 备份 + 至少一份离线/不可变；快照与业务分离
开发者自查：litellm 版本核对（1.107.0 / 1.82.7 / 1.82.8 即失陷处理，撤销 API key 与云凭据）
自查入侵痕迹（对照第八节特征）：grep -E "allow_url_include|auto_prepend_file" access.log、grep -E "phpunit.*eval-stdin" access.log、grep -E "think\\app|invokefunction" access.log、grep -E "pearcmd|config-create" access.log、grep -E "%%32%65|%ADd" access.log、grep "PHP2Shell" access.log，并在 error.log 中检索 Allowed memory size exhausted

八、自部署蜜罐捕获实战（D1–D4）

本章为本站自部署蜜罐的第一手捕获记录。
D1（部署首日）的完整分析已在博客全文披露：https://www.paddysun.top/archives/5590

8.0 部署背景与架构

Wordfence 10-21 前发来「Upcoming Critical PHP Security Release」PSA（影响 All PHP versions、Critical），判断 PoC 会在补丁发布后数小时至数天出现，于是临时搭了双节点蜜罐蹲守第一波利用：A 机（香港轻量云）跑 WordPress + Apache（:80/:443）Web 蜜罐 + :2222 SSH 蜜罐，主钓 PHP 漏洞利用；B 机六端口汇聚（SSH/TELNET/HTTP/MySQL 等），抓 IoT 蠕虫与爆破，作背景噪音参考。D1 起连续记录至 D4（10-25），以下按日汇报。

8.1 D1（10-21 – 10-22）：部署 20 小时，补丁发布约 24 小时即现武器化探测

规模：A 机 Web 面 911 条请求，B 机 9,635 条事件（SSH 2,297 / TELNET 2,013 / TCP 5,292），合计近 1.1 万条。
头条：10-22 14:08 UTC（PHP 补丁 10-21 14:00 UTC 发布约 24 小时后）捕获 UA 自报 php2shell-109618 的武器化探测（POST /lib/phpunit/phpunit/Util/PHP/eval-stdin.php，multipart）——补丁窗口以小时计，披露即被探测。手法为”老洞当枪、新洞当弹”：借 PHPUnit eval-stdin（CVE-2017-9841）经典入口装载新 CVE 的 PoC。该请求 404 未触达可利用面（D3 的活体攻击则真打到了，见下）。
扫描器画像：主力 libredtail-http（178 次，6 个源 IP 轮换、行为完全一致、每轮约 43 条、波次间隔约 7 小时，覆盖 PHP-CGI 注入 + PHPUnit 遍历 + ThinkPHP RCE + Pearcmd LFI + 路径穿越，典型武器化商用扫描器）；Go Web Pentest Tool（128 次，单 IP 深夜一波流）；l9explore/1.2.2（87 次，专扫 .git/config、备份文件等配置泄露）。
攻击链三段式：资产收割（l9explore 侦察）→ 宽覆盖探针（PHPUnit 127 次、PHP-CGI 注入 30 次、ThinkPHP、TBK IoT 注入 23 次）→ 武器化装载（php2shell-109618）。扫描是武器化的前置侦察。
技术含量：PHP-CGI 注入用了 5 种编码变体（含软连字符 %ADd 绕 WAF、双重 URL 编码），同一会话里共存着跨越 14 年的利用代码（CVE-2012-1823 / 2017-9841 / 2021-41773 / 2024-4577 / 2026-109618）——攻击侧”全打一遍”，防御侧的”已修补”却是逐组件的。
可直接用的自查/WAF 特征（全部实抓）：allow_url_include.*auto_prepend_file、php://input（query+body）、phpunit.*eval-stdin\.php、think\\app.*invokefunction、pearcmd.*config-create、%%32%65、%ADd\+。自查命令见第七节末条。
WAF 规则优先级建议（上线前先在测试环境验证；php://input 可能误伤 JSON API）：P0 = allow_url_include.*auto_prepend_file、php://input（URI query+body）；P1 = phpunit.*eval-stdin\.php、think\\app.*invokefunction、pearcmd.*config-create；P2 = %%32%65（双编码 ..）、%ADd\+（软连字符 -d）。
两个攻防不对称的细节：一是假 200 迷惑了攻击者——php-cgi 注入族有 18 次拿到 200 状态码、ThinkPHP 探针 3 次 200，但全部是 WordPress 把探测路径当搜索词渲染出来的假 200（error.log 无 PHP 异常可佐证），攻击者靠状态码很难分辨真假，防守方比对响应字节数即可识别——”默认应用行为即蜜罐”是零成本防御；二是载荷自托管源=攻击源——TBK 族 23 次 device.rsp 注入的载荷 URL 主机与请求源 IP 完全相同（同一台主机既投载荷又发攻击），属高价值 IOC 与溯源锚点。

8.2 D2（10-22 14:57Z – 10-23 16:16Z）：SSH 爆破换帅，攻击者批量轮换基础设施

SSH 爆破换帅：D1 主力源退场，阿里云系三源接管（39.97.250.212 ×15,188、182.92.131.52 ×6,435、47.251.122.75 ×2,525，均为 SSH-2.0-Go 指纹），三源合计 24,148 次尝试，窗口内 hk 侧 SSH 事件总量 25,085 条——为 D1 全期的 ×27（D1 基数 913 为 hk-events 行数口径，含事件 908），且 10-22 19:52Z 才开始（此前 5 小时空窗），字典出现针对性口令（Test@2022、Tencent@123 等）。全部被拒。
新交互源：195.178.110.218 获得交互会话后连跑 uname、lspci | grep VGA、nvidia-smi -q ×4——挖矿前 GPU 资产侦察（瞄准云 GPU 算力窃取），蜜罐以 command not found 低交互应答。
Web 面：TBK 僵尸网（160.119.66.206）保持约 1 小时节奏投放 device.rsp 命令注入；.env 变体猎取、zgrab 探测；无成功利用迹象。
工程侧：hpcollect 首次真实 log 轮转行级闭合（24,869 行零重复），捕获管线本身经受了实战检验。
审计管线与观察项：auditalert 当日 121 条告警全部为 uid=33 执行 /usr/lib/cgi-bin/php8.4，与 wp-cron（54 次/日）强相关（16:08:23 POST → 16:08:30 exec），判定为容器基线噪音而非攻击；authban 无新增真实 ban，trapped 陷阱名单 100/100 已满（LRU 顶格自持续）。toy 机窗口 SSH ×35,338（admin/空口令 ×1,423 居首），IoT 蠕虫三指纹持续（/bin/busybox HISILICON ×85、ping; sh ×90、enable/system/sh/shell 四连 ×104），MySQL root/mysql 空口令握手 ×205。数据质量侧记：toy 侧近 12 小时约 2.2 万事件 Protocol 字段为空（协议名落在消息侧字段），不影响计数对账、影响协议维度聚合，已记为捕获器改进候选。

8.3 D3（10-23 16:16Z – 10-24 13:09Z）：⭐ 野生活体 PHP2Shell 打穿靶面，与授权复现同框

本周期最重要捕获：hk-apache-error.log 出现两条 PHP Fatal error: Allowed memory size exhausted（10-23 04:53Z / 10:15Z，来源两个不同 IP），配套 access.log 中 UA PHP2Shell/1.0.0 的 POST /（响应 200 / 12,099B）——与网传泄露视频所示 CVE-2026-109618 OOM bailout 形态吻合。这不是探测器，是完整利用链的触发段打到了真 8.4.26/mod_php 靶面。
授权复现同框：10-24 我方授权打靶在同靶面复现同款 Fatal ×2（allocation 65,016,420B 触发载荷特征值），形态与野生活体逐字段一致——”验证环境有效、捕获链有效”双证，4 条 Fatal 同框。
攻击者迭代链：武器化探测（10-22，php2shell-109618 UA）→ 活体触发（10-23）——三天完成从探测到活体，PHP2Shell 武器化在野外扩散中（博客 D1 文章头条留下的”归因核对中”悬念在此落地：探测与活体同族，武器化为事实）。这与本周速览第 1 条”不存在观望空间”互为印证。
其余：SSH 字典 3.5 万级（国内云源）全部被拒；GPU 指纹探测队升级为 ×16 连环探测；toy 机 58,710 行（SSH 54,740 主导），IoT 蠕虫与 MySQL 老协议扫描为常态背景。
背景面数字：toy 机 attention 2,186 条（RULE 层 992 / LLM 层 1,194）；apache access 面 4,691 行——TBK 僵尸网 device.rsp ×81（持续每小时级）、敏感配置探测 1,325、php-cgi 注入族 30，其中 404 达 3,385 次，仍是”扫描器对不存在路径的批量试探”的常态画像。

8.4 D4（10-24 13:10Z – 10-25 15:10Z）：回到常态高位背景（素材索引口径）

SSH 主导：hk 侧 3,409 条事件全为 SSH（SSH-2.0-Go ×3,362），toy 侧 45,050 条事件（SSH ×37,307 / TCP ×5,219 / TELNET ×2,414）；凭据 Top 榜仍是 admin/空口令（×917）、root/空口令（×275）一类默认口令字典。
Web 面：libredtail-http 仍在（158 次）、TBK 注入 ×27、敏感配置探测 ×716、已知 CVE 路径 ×119、php-cgi 注入族 ×22——D1 的扫描器生态在 D4 依旧在线，未见退潮。
情报签名命中：远程脚本投递 ×5、IoT 僵尸网特征 ×1；另有 CensysInspect、Palo Alto 等测绘引擎的显名扫描（B 机）。
几点值得记录的细节：hk 侧执行命令仅 2 次，且来自我方验证流量：echo x > /etc、echo hi > /tmp/zztest && cat），即本窗口 hk SSH 面无真实命令执行；toy 侧凭据 Top 榜全是默认口令字典（admin/空口令 ×917、root/空口令 ×275、admin/admin ×107），执行命令 Top 除 FTP 类探测（QUIT ×935、USER anonymous ×65 等）外仍是 IoT 蠕虫老三样（sh/shell/system/enable 四连 ×146、ping; sh ×74、/bin/busybox HISILICON ×74）；attention 132 条（LLM 层 ×126 / RULE 层 ×6），判定 Top 为命令注入尝试 ×25、可疑命令执行 ×20、异常认证数据 ×19。测绘引擎显名扫描也在列：CensysInspect ×35（apache 面）/×41（toy 面）、Infrawatch ×8、Palo Alto ×6——公网上”亮明身份的扫描”与恶意扫描混跑是常态。
注：D4 暂无成稿分析（仅素材索引与原始日志），以上数字以 INDEX 统计为准。

8.5 四天小结：对个人站长意味着什么

“披露即假定已被扫描”应成为默认运营假设——补丁窗口期的传统假设已失效，10-21 补丁、10-22 武器化探测、10-23 活体打靶，节奏以小时计。
蜜罐的性价比在实战中成立：两台小机器、几天时间，换到的是最新武器化的第一手 IOC（UA、载荷特征、攻击源行为模式）与”补丁窗口期攻击者生态”的完整快照——这些都会直接进入本站 WAF 规则。
按 IP 封几乎没意义，按特征封才有效：libredtail-http 在 5–6 个 IP 间轮换、1 分钟连发 47 条；SSH 爆破按批轮换基础设施（×27 放量）。特征与行为模式才是可持久的防御锚点。
后续计划：继续兑现博客结尾”持续捕获观察 PoC 公开后的演变”的预告，态势感知大屏与 IP 黑名单整理后开放。

信源原则：漏洞条目以 NVD/CVE.org、厂商安全公告、USN 官方公告为准；新闻至少双信源且含一手。
部分核验：Linux 内核 RHSA-2026:88477（存在性确认、渠道细节未完全确认）
本期信息截至 2026-10-18，后续进展以官方更新为准。