PHP补丁已发布，亚洲的攻击窗口仍未关闭

数据中心内成排的服务器机架与网络布线 — 数据中心的服务器机架（2015年11月）——示意性资料照片图片: Carl Lender (Flickr) / Wikimedia Commons · CC BY 2.0 · 已调整尺寸 · 来源

重要性

噪音在于朝鲜Lazarus组织正借PHP漏洞攻击全世界，而CYFIRMA对这一关联只给出中等置信度。信号在于，Censys于10月23日统计出3440万个存在漏洞的PHP服务。漏洞利用在补丁发布前4天，即10月17日就已开始。漏洞代码可追溯至2012年，补丁却只覆盖8.2–8.5分支。能关闭窗口的不是补丁，而是旧版本退役的速度。

影响

CYFIRMA将这次行动命名为June 2026 Minjun，把包括韩国、日本、台湾和澳大利亚在内9个国家的政府机构和银行列为优先目标。
韩国10月22日把民间部门网络危机警报上调至“警戒”级。在日本，国税厅暂时关闭了相关服务。
PHP于10月23日公布了第二个远程代码执行风险。CVE-2026-115560的补丁被推迟到下一个例行版本。

噪音

Lazarus正借PHP2Shell攻击全球的政府和银行

信号

真正的风险是没有补丁的旧版PHP，以及补丁发布前就已开始的利用

信号与噪音 ›

地图：PHP补丁已发布，亚洲的攻击窗口仍未关闭

噪音在归因，信号在无法打补丁的服务器

本周的头条，是新加坡公司CYFIRMA于10月24日披露的PHP2Shell攻击行动，并被归到朝鲜Lazarus组织名下。但该公司对这一关联只给出中等置信度。它自己也写明，没有找到与已知Lazarus恶意软件或基础设施的直接对应。归因中高置信度的部分讲的是另一件事。一个说韩语的组织搭建了由15个部分组成的基础设施，准备在10月25日完成目标清单。清单优先列出9个国家的政府机构和银行。其中6个是韩国、日本、台湾、澳大利亚、印度和新加坡。

被忽视的参数不是谁在发动攻击，而是有多少服务器无法打补丁。据Sysdig分析，漏洞代码可追溯至PHP 5.4，也就是2012年。10月21日的补丁却只发布给仍受支持的8.2–8.5分支。截至10月23日，Censys统计出3440万个存在漏洞的PHP服务。Hunt.io追踪的一名攻击者瞄准了123台服务器，其中约57台运行PHP。这些服务器大多停留在已不受支持的5.x–7.x版本。它们没有补丁可用，唯一的选择是隔离、下线或升级版本。

窗口为何在10月21日之前就已打开

亚马逊的蜜罐服务器在10月17日记录到首次利用尝试，比补丁早4天。PHP团队表示，相关细节在10月20日前后泄露。泄露途径是提前发给部分关键基础设施供应商的预警，团队因此提前了发布时间表。AWS安全总监CJ Moses表示，不同的载荷和基础设施指向多个行为者。因此，CYFIRMA建议各机构排查自10月17日以来的入侵痕迹。这意味着公开披露的日期，不能被当作防御的起点。

速度同样对亚洲不利。Cloudflare统计，披露后45分钟内出现数万次尝试，2小时内达到数十万次。到10月22日早上，尝试已达数百万次。公司首席执行官Matthew Prince于10月23日对日经表示，其网络每分钟约出现100万次攻击尝试。他还说，同等规模的新漏洞还会到来。PHP在10月23日另外公布了编号为CVE-2026-115560的第二个远程代码执行风险。这个漏洞的补丁被留到下一个例行版本。

亚洲三个首都，三种不同反应

东京选择了下线。首相高市10月21日晚在X上建议网站所有者检查是否使用PHP。她还建议，若无法迅速打补丁，就暂时关闭网站。这条帖子在数小时内浏览量超过3000万次。据路透社报道，野村、三菱日联、全日空和JR东日本暂停了部分服务，国税厅也暂时关闭了相关服务。日本在2026年前9个月记录的网络事件，已多于2025年全年。

首尔选择提高警报。科学技术信息通信部与韩国互联网振兴院（KISA）于10月22日，把民间部门网络危机级别从“关注”上调至“警戒”。两部门还要求隔离无法打补丁的服务器。与此同时，韩国仍在应对自9月以来持续的银行入侵事件。截至10月14日，已有16家金融机构被列为受害者。北京则没有发出下线呼吁。工业和信息化部要求各机构检查系统并更换密码，腾讯云也建议客户更新。

约束不在技术，而在机构

这一漏洞真正的约束不是补丁代码，而是各机构让旧版本退役的能力。在首尔，这种能力在调查一侧同样薄弱。据《首尔经济日报》报道，新成立的首尔重大犯罪调查机构于10月23日，在3天内退回了警方移交的人工智能辅助银行攻击案卷。该机构网络犯罪部门的负责人职位空缺。负责化解机构间管辖权争议的委员会，要到2月才会生效。

归因停留在中等置信度，本身也是一种政治约束。CrowdStrike曾以中等置信度，把9月底的韩国银行攻击归于一个说中文、以牟利为目的的行为者。亚洲日报（Aju Press）写道，没有证据表明这些事件与PHP2Shell行动有关。只要两份案卷各自独立，首尔就无法向任何一个首都提出正式指控。防御也只能停留在技术措施层面。

什么会推翻这一判断

第一个可能推翻判断的进展，是可靠的漏洞利用代码始终没有出现。截至10月22–23日，Previdian、Wordfence和Dataminr都没有看到成功的代码执行。Hunt.io追踪的123个目标中也没有一个被攻陷。另一方面，VulnCheck开发出一种串联两个漏洞的技术，可在x86-64系统上绕过地址随机化。如果未来2周内亚洲没有出现与PHP2Shell相关的正式入侵通报，就说明窗口比想象的窄。风险也将停留在个别机构层面。

第二个推翻条件是，CYFIRMA在预计10月25日完成的目标清单之后，没有再报告新的准备迹象。同时，韩国把警报回调至“关注”级。反过来，只要在任何一家亚洲银行发现日期为10月17日的网页后门，H2的概率就会升至30以上。到那时，讨论的焦点将从补丁速度，转向那些维持旧版本运行的机构应承担的责任。

概率

情景

情景	概率	触发因素	市场影响
H1零散而有限的入侵	55%	攻击行动启动，在几家未打补丁的机构中发现网页后门，但没有出现系统性的金融中断。	预防性下线持续数周，入侵通报逐一出现，警报级别维持高位。
H2定向金融入侵	30%	韩国、日本或台湾的某家银行或政府机构，被确认发生由PHP2Shell导致的大规模数据泄露。	监管机构施加强制审计和通报负担，归因之争升级到外交层面。
H3窗口提前关闭	15%	可靠的漏洞利用代码没有出现，补丁和隔离措施迅速推开，韩国下调警报。	攻击行动推迟，风险留给使用旧版本的小型机构。

模块A

约束矩阵

结构性均值 3.8 · 操作性均值 2.7结构性约束占主导：结果更多取决于这些限制，而非各方的偏好。

结构性约束持久 · 不以行为体意志为转移

不受支持的PHP版本
5/5
漏洞代码可追溯至2012年的PHP 5.4，补丁只覆盖8.2–8.5分支。Hunt.io追踪的57台PHP服务器大多运行5.x–7.x版本，这些版本不会获得补丁。
补丁之前已开始的利用
4/5
亚马逊在10月17日记录到首次尝试，补丁于10月21日发布。在这4天空窗期被攻陷的服务器，打补丁后依然处于危险之中。
中等置信度的归因
3/5
CYFIRMA对Lazarus关联只给出中等置信度，没有找到共同的恶意软件或基础设施。首尔在提出正式指控前仍在等待证据。
韩国调查管辖权真空
3/5
首尔重大犯罪调查机构于10月23日退回了银行攻击案卷。负责化解管辖权争议的委员会要到2月才生效。

操作性摩擦暂时 · 随时间缓解

预防性下线的成本数日
3/5
日本国税厅暂时关闭了相关服务，野村、三菱日联、全日空和JR东日本暂停了部分服务。停摆越久，服务成本越高。
攻击规模数日
3/5
Cloudflare于10月23日表示，其网络每分钟约出现100万次攻击尝试。扫描噪音掩盖了定向尝试。
第二个漏洞尚无补丁数周
2/5
CVE-2026-115560的补丁被推迟到下一个例行版本。临时解决办法是设置session.upload_progress.enabled=0。

模块B

信号与噪音

信号 67% · 噪音 33%

噪音
Lazarus正借PHP2Shell攻击全球的政府和银行
CYFIRMA于10月24日对Lazarus关联只给出中等置信度，没有发现与已知Lazarus恶意软件或基础设施的直接对应。
Aju Press — Suspected North Korea-linked hackers target Korean banks, government
信号
真正的风险是没有补丁的旧版PHP，以及补丁发布前就已开始的利用
Censys于10月23日统计出3440万个存在漏洞的PHP服务。漏洞代码可追溯至2012年的PHP 5.4，补丁只覆盖8.2–8.5分支。
The Hacker News — PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
信号
漏洞利用早于公开披露
亚马逊在10月17日记录到首次尝试，比10月21日的补丁早4天。相关细节在10月20日前后泄露。
BleepingComputer — Amazon says PHP2Shell exploitation began 4 days before patches
信号
攻击者借助人工智能加快目标筛选
据CYFIRMA称，该组织用一个人工智能模型对公开的攻击代码进行排序，搭建了由15个部分组成的基础设施，并将在10月25日完成清单。
Electronic Times (전자신문) — PHP 취약점 악용한 공격 계획 포착…북한 해킹조직 연계 여부 주목
噪音
补丁已经发布，危机已经结束
PHP于10月23日就CVE-2026-115560公布了第二个远程代码执行风险，并把补丁留到下一个例行版本。
The Hacker News — PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
信号
攻击规模没有下降，新的漏洞还在后面
Cloudflare首席执行官10月23日表示，他们每分钟约看到100万次尝试，同等规模的新漏洞还会到来。
Nikkei Asia — More PHP-scale dangers lurk on the internet, CloudFlare CEO says

模块C

资产类别与配置影响

资产类别	敞口	传导渠道	H1	H2	H3	预期	信心	期限	关注指标
股票	亚洲网络安全服务板块	紧急补丁、监测和事件响应支出	+	++	0	+1.15	●●●	0–3个月	韩国和日本机构的入侵通报
股票	韩国和日本银行业	入侵成本、赔偿和审计负担	0	−−	+	−0.45	●●●	0–3个月	韩国金融委员会的声明
波动率	亚洲股市波动率	金融基础设施遭入侵对风险溢价的传导	0	+	−	+0.15	●●●	0–3个月	VIX和区域波动率指数
信用	亚洲托管和网络服务企业信用	赔偿和业务中断成本	0	−	0	−0.30	●●●	3–12个月	托管企业关于赔偿和保险的披露

二阶效应

然后会怎样？

起点

PHP2Shell漏洞利用于10月17日开始，比补丁早4天。10月23日仍有3440万个PHP服务存在漏洞，不受支持的版本没有补丁。

1
目标选择数日内
完成目标清单的组织会从大规模扫描，转向针对未打补丁的政府和银行服务器进行安静而有选择的尝试。公开扫描数据下降之际，风险反而上升。
观察指标: CYFIRMA和KISA在10月25日之后的更新，以及10月17日以来的网页后门发现
2
入侵通报数周内
首批定向入侵在韩国、日本或台湾的某家金融或物流机构得到确认。监管机构启动入侵通报和赔偿程序，各机构延长下线时间。
观察指标: 亚洲首份与PHP2Shell相关的正式入侵通报，以及韩国金融委员会（FSC）的声明
3
监管与保险数月内
监管机构把不受支持的软件版本纳入强制性规则。网络保险对使用旧版本的机构收紧保费和承保条件。日本的主动网络防御权限重新提上议程。
观察指标: 日本金融厅（FSA）和韩国金融委员会针对旧软件版本的规则草案

打断链条的条件

如果2周内没有出现可靠的漏洞利用代码，且不受支持的服务器被隔离，传导链将停在第一步。截至10月22–23日，尚未发现成功的代码执行。

触发因素

关注阈值

指标	阈值	今日	含义
VIX波动率指数	> 20	16.91	VIX突破20，表明亚洲某家银行或交易所基础设施遭PHP2Shell入侵的影响已波及全球风险偏好。

来源

来源与核实规则：方法论 · 纠错反馈：联系