PHP WASM 沙箱抗自动攻击评 9.5 分，未打补丁也难被拿下

MickeySteamboat · x · 2026-11-03

作者 MickeySteamboat 介绍了对 PHP2SHELL 自动化网络漏洞利用的评估结果：即便运行未打补丁的 PHP 8.3.32，基于 PHP WASM 的方案也达到 9.5/10 的"近乎完全中和自动化漏洞利用"评分。

关键在于选择不带 process-spawn handler 的 PHP WASM——原本在标准 php-fpm 栈上是即时自动化的 Linux root/shell 沦陷，变成了让现成 exploit 直接失效的硬目标。作者称还发现了几处"软肋"，虽几乎不可被利用，也已采取处理措施。完整报告将在未来几天发布，部分细节出于安全原因暂不公开。