N環球 
Amazon: Nagsimula ang mga pag-atake ng PHP2Shell apat na araw bago ang mga patch, na ngayon ay malawakang pinagsamantalahan
Sinabi ng Amazon Threat Intelligence na ang mga pagtatangka sa pagsasamantala laban sa mga kritikal na mga bahid ng PHP2Shell ay nagsimula noong Okt. 17, apat na araw bago ang mga patch ay naipadala — at ang mga bahid ay malawakang pinagsasamantalahan sa kagubatan.
Bakit ito mahalaga
Pinapatakbo ng PHP ang hanggang 80% ng mga website sa buong mundo, kabilang ang WordPress, Drupal at Joomla. Ang dalawang kritikal na depekto (CVE-2026-109618 at CVE-2026-109619, CVSS 9.2) ay nagbibigay-daan sa pre-authentication remote code execution. Kinumpirma ng Amazon na ang mga umaatake ay hindi naghintay para sa pampublikong pagsisiwalat: ang unang pagtatangka sa pagsasamantala ay dumating noong Okt. 17, apat na araw bago ang PHP Foundation ay nagpadala ng mga patch noong Okt. 21. Ang pag-aakalang ang petsa ng pagsisiwalat ay minarkahan ang pagsisimula ng mga pag-atake - dapat na simulan ng mga tagapagtanggol ang kanilang mga pagsisiyasat mula Oktubre 17.
Buong ulat
Ibinunyag ng threat intelligence team ng Amazon sa isang security blog post noong Okt. 22 na ang MadPot honeypot network nito ay nagtala ng unang pagtatangka sa pagsasamantala ng PHP2Shell noong Okt. 17, habang ang mga kahinaan ay nasa ilalim pa rin ng embargo (public release ay 14:00 UTC noong Okt. 21). Ang pagtatangka ay nagmula sa isang IP address na nakatali sa isang komersyal na network ng anonymization. "Nananatiling hindi malinaw kung paano nakuha ng aktor ang impormasyon sa pagsasamantala bago ang pagbubunyag," sabi ni CJ Moses, punong opisyal ng seguridad ng impormasyon ng Amazon.
Noong Oktubre 21 mismo, nakita ng Amazon ang maraming proof-of-concept na pagsasamantala, ang pinakamaagang mga 12 oras bago ang paglabas ng patch. Iba-iba ang mga payload at anonymized na imprastraktura, na nagmumungkahi ng ilang natatanging aktor. Sa loob ng ilang oras ng pagpapadala ng patch, na-on ang mga bagong pagsasamantala sa mga sensor ng Amazon. Inilalarawan ngayon ng Amazon ang PHP2Shell bilang "malawakang pinagsamantalahan sa ligaw," at ang mga pagtatangka na nakita ng Cloudflare ay umakyat sa milyun-milyon.
Sinabi ng Dataminr sa parehong araw na ang naobserbahang aktibidad ay nananatiling limitado sa pag-scan, fingerprinting at hindi gumaganang pagsasamantala, na walang kilalang mga kompromiso — ngunit ang mga pagsasamantala sa pagtatrabaho ay sandali lamang.
Background
Ang mga bahid ay nakakaapekto sa bawat paglabas ng PHP 7.x at 8.x at natuklasan ng mga mananaliksik mula sa Calif, OpenAI at Wiz na pag-aari ng Google. Ang buggy code ay nakaupo sa PHP sa loob ng maraming taon hanggang sa isang Agosto audit na tinustusan ng OpenAI ay gumamit ng isang AI model upang ipakita na ito ay praktikal na mapagsamantalahan — ang pinagmulan ng pangalang "PHP2Shell". Mga nakapirming release: PHP 8.5.12, 8.4.27, 8.3.36 at 8.2.35.
Payo ng Amazon: ang pag-upgrade ng PHP ay ang tanging kumpletong remediation; ang mga pagsisiyasat ay dapat magsimula sa Oktubre 17; Ang mga system na hindi pa nakakapag-patch ay maaaring isaalang-alang ang pagharang sa mga multipart na pag-upload ng file pagkatapos subukan kung ano ang nasira.
💬 Comments
No comments yet. Be the first!