Potassium僵尸网络借助PHP高危漏洞扩充血源，全力搭建DDoS攻击集群

近期多家网络安全厂商监测到新一轮大规模漏洞利用行为，Mirai家族新变种Potassium僵尸网络正在活跃投放，攻击者借助刚披露的PHP高危漏洞PHP2Shell批量扫描入侵公网服务器，持续扩充肉鸡血源，为后续发起大流量DDoS攻击搭建攻击集群，大量暴露在外的PHP站点、云主机面临入侵风险。

一、漏洞背景：PHP2Shell高危无验证远程代码执行漏洞

本次攻击所依托的是编号CVE-2026-109618、CVE-2026-109619的PHP2Shell系列高危漏洞，属于未授权远程代码执行（RCE）类型。漏洞影响大范围PHP版本，攻击者不需要账号密码，仅发送特制请求包，即可在目标服务器上执行任意系统命令。

漏洞POC代码公开之后，短时间内全网扫描与利用请求爆发。监测数据显示，全球数千万台对外开放PHP服务的服务器进入攻击视野，包含大量虚拟主机、宝塔面板站点、IDC业务服务器、轻量云主机，是本次Potassium僵尸网络最主要的入侵入口。

二、Potassium僵尸网络传播与驻留流程

Potassium是基于Mirai源码二次开发的变种僵尸程序，攻击链路标准化。

第一步，攻击者使用自动化扫描器全网探测开放PHP服务的主机，验证目标是否存在PHP2Shell漏洞；第二步，漏洞利用成功后，远程下载对应架构的恶意bot程序；第三步，恶意程序落地后，尝试添加自启动、清理同类竞品木马、连接C2控制域名上线；第四步，受控主机接收指令，等待调度，成为DDoS肉鸡节点。

和传统Mirai主打IoT设备不同，Potassium重点瞄准云服务器与Web主机。这类服务器带宽更高、网络稳定性更强，一旦形成集群，能够打出流量更大、破坏力更强的DDoS洪水攻击。

三、攻击目标：组建高带宽DDoS集群

攻击者的核心目的不是拖库、植入网页黑链，而是囤积高带宽肉鸡节点。

IoT设备普遍带宽有限，容易被运营商限流；而云服务器、独立主机带宽资源充足，更适合用来发起UDP洪水、HTTP洪水、TCPSYN洪水等攻击。攻击者批量拿下PHP服务器之后，持续积累肉鸡数量，等集群规模达标，就可以对外承接DDoS黑产订单，定向打击网站、游戏服务器、线上业务。

安全研究员同时提到，现阶段以漏洞扫描、尝试植入为主，大量利用尝试并未成功落地，但是攻击体量持续上涨，后续集群成型之后攻击风险会显著上升。

四、风险对象梳理，哪些服务器最容易中招

首当其冲的是公网直接暴露PHP服务，且没有升级补丁的站点服务器，包括WordPress、Discuz、各类PHP建站程序、自研PHP后台。

IDC服务商、虚拟主机平台风险突出，一台宿主机上承载大量PHP站点，只要其中一个站点存在漏洞，就有可能被拿下并横向渗透；运维习惯差、长期不更新PHP版本、对外放开80/443端口、没有WAF防护的中小站点，是扫描器优先打击对象。

另外，不少服务器虽然开启防火墙，但没有限制海外异常IP访问，无法拦截批量漏洞探测包，极易被扫到并尝试入侵。

六、运维应急加固方案

1、优先升级PHP版本，打上PHP2Shell漏洞官方补丁，暂时无法升级的业务，可临时关闭危险函数、禁用危险请求参数；
2、部署WAF，拦截针对该漏洞的特征攻击载荷，封禁高频扫描恶意IP段；
3、服务器侧排查异常进程、陌生定时任务、未知二进制程序，重点检查/tmp、/var/tmp等目录；
4、做好SSH端口加固，禁止弱密码，关闭不必要对外端口，缩小攻击面；
5、开启服务器流量监控，警惕突发向外大量发包的异常流量，及时发现已经被控的肉鸡；
6、DNS与安全日志持续审计，监控服务器连接陌生C2域名、恶意IP的行为。