Chained PHP2Shell 漏洞利用获取 25 台服务器的 root 权限，其中包括美国政府服务器

原文 ↗ Hacker News 讨论 ↗

最近披露的一条针对关键 PHP 请求解析漏洞（“PHP2Shell”）的漏洞利用链，已被用于获取至少 25 台服务器的 root 权限，其中包括某大型防火墙厂商背后的系统以及一个与美国政府相关的环境。评论者就该 PHP 漏洞究竟有多严重、影响范围有多大展开争论，指出它在应用代码或认证检查之前执行，且往往需要与 Linux 内核提权漏洞串联利用；同时也提到，现实中的影响受部署细节、补丁和配置所限制。该事件引发了对互联网核心基础设施脆弱性、商用防火墙和公共部门系统安全姿态，以及 AI 工具在发现和利用此类漏洞中日益增长作用的更广泛担忧。

PHP2Shell 的严重性与可利用性

  • 核心问题：PHP 请求解析中的 RCE，发生在任何应用代码或认证之前，因此“安全的 PHP 代码”和常规认证检查都无济于事。
  • 有人认为它被过度炒作，因为：
    • 在现实世界中，最终通过这条链完全拿到 root 的系统数量很少（扫描的约 15k 台中只有 25 台）。
    • 由于部署细节或补丁，许多 PHP 部署在实际中并不可被利用。
  • 也有人坚持认为这是近几年最严重的漏洞之一：
    • 在无处不在的解释器中实现了平台级、认证前 RCE。
    • 在打补丁前，唯一可靠的缓解措施基本上就是“不运行 PHP”或让服务下线。
  • “stealmybitcoin” 挑战引发了混乱：
    • 起初配置错误（并没有真正的 PHP 端点），后来修复，并在大约 2 小时内被利用。
    • 这既被用来论证“比宣传的更难”，也被用来论证“确实真实且危险”。

攻击链与受影响系统

  • 报告中的入侵使用了一条攻击链：
    • PHP2Shell 用于初始代码执行，权限为 www-data。
    • 一个 Linux 内核本地提权漏洞（XFRM ESP-in-TCP / 很可能是“Dirty Frag”）用于获取 root。
  • 这起事件中只有未打补丁的、运行在特定防火墙平台上的 PHP 受影响；公开的 CVE 已在上游修复。

防火墙管理、厂商栈与错误配置

  • 强烈批评防火墙管理界面直接暴露在互联网上，而不是隔离在管理网络中。
  • 线程中的共识是厂商为 Palo Alto Networks（PAN-OS），依据包括：
    • 提到的 PHP 版本。
    • SELinux 配置。
    • Appweb + PHP 技术栈。
  • 对于“世界级防火墙”为什么还在运行 PHP 的争论：
    • 历史背景：在 2000 年代，PHP 是一个很自然的选择。
    • 一旦存在大型 GUI，把它重写到更安全、更简单的栈上成本很高，因此遗留代码会长期存在。

AI、炒作与漏洞开发

  • 多位评论者表示，LLM（Claude Code、DeepSeek、Qwen 以及其他）帮助构造和优化了漏洞利用（例如更高效的内存耗尽）。
  • 观点分裂：
    • 一些人认为 AI 的作用和媒体叙事被“AI 安全营销”和标题党过度炒作了。
    • 另一些人则认为批评者在淡化 AI 赋能的漏洞利用能力发生了真实变化。

Linux 内核攻击面与加固

  • 有人担心 Linux 自带的攻击面过于广泛：
    • 像 XFRM、MPTCP、algif_aead、SMB、io_uring+DMABUF 之类的功能通常默认启用。
  • 一些用户表示会审计已加载模块并禁用不需要的子系统。
  • 也有人承认通用发行版为了兼容性会启用“一切”，而加固过的环境（例如使用自定义内核的 Gentoo、Android + SELinux）可以减少暴露面。

更广泛的安全与信任担忧

  • 人们对政府相关系统在严格监管要求下仍然暴露出配置错误、易受攻击设备感到沮丧。
  • 有人质疑公共云 / SaaS（例如 O365）是否真的更安全，因为总会不断出现新的漏洞链。
  • 少数人推测应把更多关键功能转移到硬件/FPGA 中以获得确定性，而另一些人指出这会让修复设计缺陷变得更困难。