之前没人攻成的 PHP 漏洞，这次连美国政府关联防火墙都沦陷了

漏洞公开后的第一周，全网都在讨论却没人攻成；一个月后，首例实战入侵出现，被打穿的还是防护最严的那类设备。

一、发生了什么

10 月下旬，安全公司 Dream 披露了一起入侵活动的调查结果。攻击者定制了利用 PHP 两个高危漏洞（业内称 PHP2Shell）的武器化代码，再串上一个名为 Fragnesia 的 Linux 内核提权漏洞，用一条无需任何凭证的请求，就能在运行特定版本系统的防火墙上拿到最高权限。全程不到 15 分钟。

行动的规模和针对性都超出一般黑客操作。攻击者先用一个测绘平台扫出全球约 1.9 万台暴露在公网的防火墙，筛出 240 台目标，分布在美国、日本、中国台湾和韩国。10 月 23 日的自动化批量攻击拿下了 24 台边界防火墙，其中 22 台只是种下后门待用；另外两台属于一家美国政府关联机构。攻击者随后以其中一台为跳板，挖通了通往内网的反向隧道，又用同一套漏洞攻下内部防火墙管理服务器——总计 25 台服务器沦陷。接下来是典型的内网动作：解密服务账号密码、枚举域内所有用户、尝试批量猜密码和提取签名密钥。多家媒体报道指认受影响的是 Palo Alto 的 PAN-OS 防火墙，厂商方面已核实相关工具并推出修复版本。

调查中还发现攻击者基础设施上装着 AI 工具和配置好的模型接口。Dream 判断约 40 个定制脚本疑似 AI 辅助开发，但认为攻击并非全自动。

二、跟你有什么关系

如果你管网络设备，先去查一件事：防火墙的管理接口有没有暴露在公网。这次入侵的起点就是一台本不该被外网访问到的管理界面。

如果你用的是主流厂商防火墙的老版本，修复版本已经出来，升级别再拖。这批被攻破的设备共同点就是系统偏旧。

如果是普通用户，短期无需恐慌，但你托付给机构的数据安全，取决于对方这两周的动作快不快。

三、怎么判断

1. 立刻把防火墙、VPN 网关的管理后台从公网上撤下来，收进专用的跳板或内网通道。这是 Dream 给出的头号建议。
2. 排查可疑痕迹：来路不明的管理员操作、异常隧道连接、新增的陌生账号。域账号锁定阈值被设为零的，尤其要警惕批量猜密码。
3. 核对设备版本和厂商通告，确认自己不在受影响之列；在列就当天升级，同时轮换高权限凭证。

四、三个别信的说法

「漏洞公开时没人打穿，说明它不好利用。」 这次事件证明「还没被打穿」和「打不穿」是两回事。攻击者提前在虚拟环境里做了大量调试，就等一个合适的时机。

「AI 自己完成了这次入侵。」 证据只支持 AI 辅助写脚本。把它渲染成 AI 自主黑客，既高估了现状，也会让人放松对人的排查——操盘手始终是人。

「打了补丁就万事大吉。」 已沦陷设备上的后门和隧道不会因升级自动消失。修补漏洞只是第一步，清点存量失陷、轮换凭证同样必须做。

五、一句话结论

真正让攻击者得手的不是漏洞本身，而是一台本不该暴露在公网上的管理界面——先查这个，再谈补丁。

信息来源

• 黑客利用 PHP2Shell 组合漏洞攻破 25 台服务器（TechRadar）
• PHP2Shell 与内核提权串联入侵分析（Security Online）

功能与价格以官方公告为准。本文写于 2026 年 10 月 31 日。