PHP服务器遭遇批量入侵尝试，攻击者投放Potassium Mirai衍生DDoS僵尸网络

安全厂商监测到新一轮大范围攻击浪潮，攻击者利用PHP2Shell系列漏洞批量扫描、入侵搭载PHP环境的Linux服务器，目标是植入Potassium（钾）这一Mirai衍生僵尸程序，持续扩充肉鸡集群，用于承接后续DDoS攻击订单。本次攻击和以往主攻IoT设备的Mirai家族不同，将大量云主机、虚拟主机、建站服务器纳入扩量目标，对虚拟主机服务商、站长群体风险显著上升。

一、攻击链路：借助PHP远程代码执行漏洞投递载荷

本次攻击的入口是PHP2Shell高危RCE漏洞，漏洞存在于PHP底层处理逻辑，未认证攻击者可构造特殊请求实现远程代码执行。攻击流程标准化：首先全网指纹扫描开放PHP服务的主机，探测版本与漏洞特征；漏洞命中后执行Shell指令，从外部C2地址拉取Potassium恶意ELF程序；程序落地后完成持久化驻留，主动连接控制端，完成肉鸡入网。

值得注意，目前监测数据以大量利用尝试为主，虽然扫描投递流量巨大，但受限于漏洞利用稳定性、防护拦截，已经确认成功沦陷的主机样本数量有限，属于黑产集中发力“抢节点”的前置扩张阶段，窗口期内修补漏洞可以大幅降低中招概率。

二、Potassium（钾）变种木马核心能力解析

Potassium是2026年初被捕获的Mirai分支，本次更新版本在加密通信、攻击向量、解析机制上做了强化。

通信层面采用ChaCha20加密存储配置，C2通信报文做特殊编码混淆，降低流量审计设备识别概率；内置多协议DDoS洪水模块，支持TCP、UDP、ICMP、OpenVPNFlood等多种攻击指令，控制器可远程切换攻击目标、包速率与持续时长。

架构上同时编译x86与ARM版本，不再局限路由器、摄像头IoT设备，适配主流云PHP服务器。样本中还内置ENS域名解析代码，后续版本有切换去中心化域名寻址C2的可能性，进一步提升关停难度。肉鸡上线后默认静默潜伏，不产生异常流量，等待接单下发攻击指令，典型的“蓄养模式”。

三、为什么PHP建站服务器成为本次攻击重点?

传统Mirai长期以弱口令IoT设备为主，而本次转向PHP云主机，有明确的收益逻辑。

第一，PHP主机带宽质量普遍优于家用IoT设备，云主机上行带宽稳定，单台肉鸡的攻击输出能力更强，适合打高价值商业目标；

第二，大量中小站长、虚拟主机用户习惯延迟升级PHP，很多站点使用老旧版本，缺少WAF、主机加固，漏洞暴露面广；

第三，一台主机上通常搭载多个网站，一旦被拿下，攻击者还可横向扫描同宿主机、同网段其他站点，放大感染范围，给IDC、虚拟主机服务商带来批量沦陷风险。

建站站点一旦沦为肉鸡，不仅自身业务可能被攻击者随时关停，主机对外发包还会导致服务器IP被运营商封禁、触发机房黑洞，连带站点SEO、业务访问彻底中断。

四、运维自查与应急处置方案

1.优先升级PHP版本：升级至官方修复版本8.5.12、8.4.27、8.3.36、8.2.35，临时无法升级的主机配置WAF规则拦截PHP2Shell利用特征。

2.最小化权限加固：PHP运行账号禁止root权限，限制shell执行、文件写入权限，关闭不必要的危险函数，禁用未使用的PHP扩展。

3.主机侧排查：检查定时任务、开机自启项、陌生ELF程序，监控异常出站大流量、陌生C2外联；发现感染立即断网隔离，重装系统，不可只简单删木马。

4.接入防护：PHP站点前置WAF，开启恶意代码执行、WebShell上传拦截；机房侧做好出站流量审计，及时识别肉鸡发包行为。

5.服务商侧：虚拟主机、宝塔集群批量巡检，对存量PHP环境做漏洞扫描，给用户推送升级告警，拦截批量利用Payload。

总结

Potassium（钾）变种的出现，标志着Mirai僵尸网络从IoT赛道进一步向PHP云服务器渗透。黑产借助PHP2Shell漏洞发起批量扫站，目标是收集高质量带宽肉鸡，为后续商业DDoS攻击储备节点。

对站长、IDC运维来说，这一轮威胁的核心在于前置防御：漏洞窗口期非常宝贵，及时级、收紧PHP权限、部署Web防护，就能避开本次扩潮。如果放任漏洞不管，服务器一旦沦为肉鸡，不仅业务随时可能被牵连打击，还会面临IP封禁、机房处罚等连锁后果。随着僵尸网络不断迭代，Web服务漏洞正在成为DDoS肉鸡新的重要来源，PHP环境安全已经是建站安全不可忽视的一环。