PHP2Shell漏洞无需登录即可攻击，因其发生在PHP解释器最底层的请求解析阶段，绕过所有身份认证逻辑；攻击者通过特制multipart POST请求触发Zend引擎内存错误，所有可访问的PHP端点均可能成为入口，WAF和登录校验均无法拦截，唯一修复方式是升级PHP至指定安全版本。
PHP2Shell漏洞不需要登录就能攻击，是因为它发生在PHP解释器最底层，攻击入口完全绕过身份认证逻辑。
这个漏洞不依赖用户登录、不检查Cookie、不验证Token，甚至不需要你打开网站后台。它直接作用于PHP处理HTTP请求的最早阶段——在你的代码（比如WordPress、登录表单、API接口）还没开始运行之前，攻击就已经完成了。
攻击发生在请求解析环节
当服务器收到一个特制的multipart POST请求（比如带畸形Content-Length或超量头部的文件上传请求），PHP内核在分配内存或清理状态时出错。这个过程属于Zend引擎的基础设施行为，和“你是谁”“有没有权限”毫无关系。就像大楼的承重墙开裂，不会因为你没刷卡就自动修复。
所有公开可访问的PHP端点都可能成为入口
- 任意.php文件（哪怕只是
<?php echo 'hello'; ?>） - WordPress的/wp-admin/admin-ajax.php
- 登录页、注册页、联系表单提交地址
- 甚至某些CDN回源路径、健康检查接口
只要该路径最终由PHP处理，且PHP版本未修复，攻击者发一个请求就能触发。
立即学习“PHP免费学习笔记（深入）”；
为什么WAF、登录校验、插件防护都拦不住
- WAF规则通常基于常见攻击特征（如SQL关键字、恶意JS），而PHP2Shell的请求看起来完全合法
- 登录逻辑在PHP脚本里执行，但漏洞在脚本执行前就已劫持控制流
- 插件、主题、CMS本身再安全也没用，因为问题不在它们的代码里
临时禁用session.upload_progress.enabled能阻断部分利用路径，但根本解法只有升级PHP到修复版本：8.2.35 / 8.3.36 / 8.4.27 / 8.5.12及以上。
