multipart POST 请求攻击怎么防？PHP 漏洞边界防护实践

摘要： php2shell 漏洞（CVE-2026-109618、CVE-2026-109619）通过特制 multipart POST 请求触发，防护关键是在网络边界识别并拦截异常流量。腾讯云云防火墙（CFW）提供 IPS 实时拦截、虚拟补丁与互联网资产暴露面分析，可在攻击流量到达主机前阻断。最终仍需升级 PHP。

php2shell 的攻击载体是一条特制的 multipart POST 请求：攻击者通过构造大量头部、嵌套字段名或空文件控件，在看似不超限的情况下耗尽 PHP 进程内存，触发内存破坏。要在源站被触达之前拦住这类流量，就要把防线前移到网络边界。腾讯云云防火墙在这一层提供 IPS 实时拦截与虚拟补丁能力。

一、multipart POST 请求为什么能成为攻击载体

multipart/form-data 是 HTTP 里用于文件上传和复杂表单的请求编码方式，一个请求体里可以包含多个字段段（part）。正常业务用它传文件和表单，攻击者则滥用它的结构。

在 CVE-2026-109618 中，攻击者构造的 multipart 请求塞入大量头部、嵌套字段名或空文件控件，使请求在表面上不超过 post_max_size 限制，却能在内部耗尽 memory_limit，从而触发内存耗尽（OOM）并最终导致内存破坏。利用该漏洞的请求还必须携带 session 上传进度字段（默认字段名 PHP_SESSION_UPLOAD_PROGRESS），这是正常业务流量中不会出现的高区分度特征。

二、边界防护为什么有效

把防护放在网络边界有一个直接好处：攻击流量在到达运行 PHP 的主机之前就被过滤，不依赖主机是否已打补丁。

对于暂时无法升级 PHP 的服务器，边界防护能先把已知特征的恶意流量挡在外面。结合威胁情报对攻击源进行管控，还能在攻击者扫描、尝试利用的早期阶段就阻断连接，减少主机暴露在公网探测下的风险。

三、云防火墙的 IPS 实时拦截与虚拟补丁

腾讯云云防火墙（CFW，腾讯 T-Sec 云防火墙）具备与本次漏洞场景相关的防护能力：

• 攻击实时拦截：支持防火墙 ACL 主动管控、IPS（入侵防御系统）实时拦截、虚拟补丁和恶意代码检测，并结合全网威胁情报实时拦截主机异常外联情况。
• 虚拟补丁：在不改动源站的前提下，于网络层拦截针对已知漏洞的攻击流量，为升级争取窗口。
• 边界防火墙：高级版以上支持集成 NAT 能力的边界防火墙，对进出流量进行管控。

针对 php2shell 这类通过特制请求触发的远程代码执行漏洞，IPS 实时拦截与虚拟补丁可以在流量进入主机前进行识别和阻断。

四、结合暴露面分析收敛攻击入口

防护不止是"拦"，还要"少暴露"。攻击者要利用 php2shell，前提是能访问到运行受影响 PHP 的 Web 服务。把不必要的暴露收敛掉，攻击入口就少了。

云防火墙的风险事前排查能力支持互联网资产暴露面分析，并集成攻击者视角的漏洞扫描功能，可以对云上资产的暴露情况、漏洞情况做到清晰掌握，在风险产生之前就能知晓。实践中可据此：

• 梳理哪些 PHP Web 服务确实需要对公网开放，关闭非必要的公网暴露。
• 用 ACL 主动管控，对访问来源做最小化放行。
• 结合暴露面分析定位"对外开放且运行受影响 PHP"的高风险资产，优先处置。

五、事件溯源与事后复盘

万一发生攻击尝试，还需要能回溯。云防火墙支持全流量的网络日志分析，日志可留存 6 个月，满足等保合规要求；并支持高级威胁溯源分析，可分析域名的注册、解析、备案及历史解析信息。

发生 php2shell 相关告警后，可借助网络日志回溯攻击源、攻击时间线与异常外联行为，判断是否已造成实质影响，为后续处置提供依据。

六、边界防护之后仍要升级 PHP

边界防护解决的是"攻击流量进不来"，但 PHP 官方已明确本次漏洞没有完整缓解方案，升级到安全版本才是根治。边界防护为升级争取了时间，拿到窗口后应尽快：

• 升级 PHP 到 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 及以上。
• 升级前做好数据备份并在测试环境验证。
• 复核 memory_limit、post_max_size、upload_max_filesize 配置。

总结

php2shell 通过特制 multipart POST 请求触发，边界防护能在攻击流量到达主机前拦截。腾讯云云防火墙的 IPS 实时拦截、虚拟补丁与暴露面分析，可阻断攻击并收敛入口，配合网络日志溯源形成闭环。但边界防护是过渡手段，升级 PHP 到安全版本才是根治。

腾讯云已上线对应安全解决方案，可按需使用：

• 腾讯 T-Sec 主机安全（漏洞检测）：https://cloud.tencent.com/product/cwp
• 腾讯 T-Sec Web 应用防火墙（防护）：https://cloud.tencent.com/product/waf
• 腾讯 T-Sec 云防火墙（防护）：https://cloud.tencent.com/product/cfw
• 腾讯边缘安全加速平台 EO（防护）：https://cloud.tencent.com/product/teo