先说背景：这是首篇指南的后续
2026 年 10 月 29 日，PHP2Shell 事件出现实质性新进展：攻击已经从“漏洞披露”推进到“打到具体产品”。本文是此前 《PHP2Shell 防御指南》的后续，只讲防御与应对，不涉及任何利用细节。
新进展一：联网的防火墙管理界面成为目标
Palo Alto Networks 在 10 月 29 日警告称，已观测到威胁行为者利用 PHP2Shell（CVE-2026-109618 / CVE-2026-109619）攻击暴露在公网上的防火墙管理界面。厂商明确指出，不需要特殊配置就能受影响，管理界面允许外网 IP 访问时风险最高。
受影响的范围界定得很清楚：问题严格限定在管理 Web 界面，包括 HTTPS 管理界面与 XML API 服务；数据面接口只有在挂了管理配置文件时才受影响。换句话说，管理面有没有暴露在公网，是这波攻击能否够到你的决定性因素。
PAN-OS 的修复与临时缓解
PAN-OS 12.2 分支在 12.2.4-h1 中已修复；12.1、11.2、11.1、10.2 各分支的热补丁按厂商公告陆续发布，部分分支的预计时间在 10 月 29 日至 30 日，具体到每个版本请以厂商公告为准，不要凭记忆套用。
对暂时没有补丁的分支，厂商给出的临时缓解措施包括：把管理端口的入站流量改走数据面端口、更换入站管理证书、对入站管理流量解密检查、给入站管理流量开启威胁防护。而最根本的一条最佳实践厂商也再次强调了：把管理界面的访问限制在可信内网 IP，只放给必须管理它的人。
新进展二：与 Linux 内核提权漏洞连用
以色列安全公司 Dream 报告称，一个疑似与中国有关的攻击者把 PHP2Shell 与 Linux 内核本地提权漏洞 Fragnesia（CVE-2026-46300，CVSS 7.8）连用，拿下了美国、日本、台湾、韩国 25 台服务器的 root 权限，其中 3 台属于美国政府相关环境，随后攻击活动目录，缴获物证实存在凭据提取与目录枚举行为。
这里必须把不确定性讲清楚：Dream 没有点名防火墙厂商，所谓“与 Palo Alto 的报告有关”只是外界根据时间点做的推测，不是确认的事实。不要把 Dream 报告里的目标直接说成是某厂商的设备。
美国 CISA 随后把 CVE-2026-46300 收进 KEV（已知被利用漏洞目录），并说明它能与两个 PHP 漏洞连用以植入 PHP webshell 并以 root 执行命令。同样要澄清：KEV 里 2026 年 10 月 31 日的期限只针对美国联邦机构，不是所有用户的统一期限。
读者该做什么
- 如果你管着 PAN-OS 设备：第一步不是查 PHP 版本，而是查管理界面有没有暴露在公网；先收回到可信内网 IP，再按厂商公告打热补丁。
- 如果你管着 PHP 服务：按首篇指南对照修复版本表升级（8.5.12、8.4.27、8.3.36、8.2.35），并检查 session 上传进度那个开关。
- 如果你用的是托管建站或云平台：一般由平台统一修复，到平台公告里确认状态即可。
- 日志复核：有管理面暴露史的设备，回顾近期的管理界面访问日志与异常进程记录，必要时请专业人员复核。
总结一句话：PHP2Shell 的第二阶段已经从“补 PHP”扩展到“收管理面”——管理界面不暴露、补丁按厂商公告打、内核提权漏洞也别漏掉，这三件事做完，这一波才算防住。