有助於理解文章的圖片
無須驗證即可在伺服器執行惡意程式
南韓持續出現利用「PHP2Shell」漏洞發動的攻擊，科學技術資訊通信部與韓國網路振興院22日中午12時起，將民間領域網路危機警報由「關注」調升至「注意」，並啟動緊急應變機制。
緊急安全措施通知對象包括約2萬8000家已申報資訊安全最高負責人的企業，以及約5900家網路威脅資訊共享體系會員公司。
PHP2Shell涉及PHP記憶體管理缺陷所造成的兩項漏洞，編號分別為CVE-2026-109618及CVE-2026-109619。攻擊者不須通過身分驗證，即可能在伺服器執行惡意程式，風險評分達9.2分，滿分為10分。
修補程式發布前已偵測到攻擊
亞馬遜威脅情報團隊表示，早在PHP開發團隊21日發布修補程式前4天，也就是17日，便已偵測到漏洞利用企圖。資安業者Imperva則指出，漏洞公開後最初24小時內，在其防護環境觀察到48萬2342次相關請求及12萬2311個攻擊連線階段，涉及103國、2萬1998個網站；不過，相關數據並不代表實際入侵成功件數。
Palo Alto Networks估計，全球約有2200萬個PHP執行環境直接暴露於網際網路，但強調這不代表所有環境都存在漏洞。
南韓資安業者提供免費檢測
南韓資安公司Theori重現攻擊程式後，公開應變指南及設定檢查腳本，並強調暫時性措施無法完全阻擋攻擊，也可能影響部分功能，因此仍須安裝官方修補程式。
NK WhiteHat推出免費診斷掃描工具，可確認PHP版本與設定。執行長李成權表示，面對PHP2Shell這類影響廣泛的漏洞，關鍵在於搶在攻擊者之前盤點對外暴露的資產並完成處置，以掌握應變黃金時間。
PIOLINK也開設檢查網頁，使用者輸入網站網址後，即可查看PHP版本及是否需要修補；若伺服器隱藏版本資訊，系統將標示為「無法確認」，提醒管理者自行檢查。Stealien同樣推出免費線上檢測服務，執行長朴燦岩表示，希望協助缺乏資安人力的中小企業及機構。安博士則公布攻擊重現結果，並提出偵測異常指令執行、網頁後門建立及檔案變更的方法。
不過，外部檢測仍有侷限。若伺服器隱藏PHP版本，便難以判斷是否受漏洞影響；即使檢測結果正常，也無法得知內部設定或系統先前是否已遭入侵。
更新後須重新啟動並追查入侵痕跡
韓國網路振興院建議，將PHP升級至最新安全版本後，務必重新啟動網頁服務，避免更新前的執行程式仍留在記憶體中，使系統持續處於風險。管理者應至少檢查10月20日以後的連線紀錄，若條件允許，也應追查更早的紀錄。
完成修補後，仍須確認系統是否已被植入網頁後門，並更換資料庫密碼、驗證權杖等重要認證資訊。
南韓個人資料保護委員會另提醒，應注意phpMyAdmin等PHP架構的資料庫管理工具是否直接對外開放或被賦予過多權限，並限制管理工具由網際網路存取，同時檢查大量查詢、匯出個資等異常紀錄。事務處長楊淸三警告，這次漏洞的影響可能不只限於網站遭入侵，還可能波及相連資料庫中的大量使用者個資，因此除安裝安全更新，也應強化可疑連線檢查等管理措施。
國會質疑公部門應變掌握不足
南韓國會議員韓俊鎬23日在國政監查中指出，政府雖已發布緊急安全警報，韓國網路振興院卻未能充分掌握公家機關持有多少套漏洞系統，以及更新是否完成。
韓國網路振興院院長李相中回應，各機關分別負責自身系統營運，使振興院直接檢查個別系統時面臨制度限制。韓俊鎬則要求主管機關後續向其辦公室報告應變進度。
留言
張貼留言