N環球 
亚马逊：PHP2Shell 漏洞在公开前四天已遭攻击，现正被大规模利用
亚马逊威胁情报团队披露，PHP2Shell 危急漏洞早在补丁发布前四天就已出现攻击尝试，攻击者或提前得知了漏洞情报；目前该漏洞已被大规模利用。
为何重要
PHP 驱动全球高达八成网站（包括 WordPress、Drupal、Joomla 等系统），两个 CVSS 9.2 分的危急漏洞（CVE-2026-109618、CVE-2026-109619）可在无须登入的情况下远端执行代码。亚马逊证实，攻击者并未等到官方披露——最早的攻击尝试出现在 10 月 17 日，比 PHP 基金会在 10 月 21 日发布补丁早了四天。这意味著「公开日等于攻击开始日」的假设已经失效，企业必须把调查窗口前移到 10 月 17 日。
事件经过
亚马逊威胁情报团队在 10 月 22 日晚的安全博客中披露，其 MadPot 蜜罐网络在 10 月 17 日记录到针对 PHP2Shell 的首次攻击尝试，当时漏洞仍处于保密期（embargo），直到 10 月 21 日 14:00 UTC 才正式公开。亚马逊首席信息安全官 CJ Moses 表示，该次攻击来自一个商业匿名网络的 IP 地址，「目前仍不清楚攻击者是如何在披露前获得漏洞利用信息的」。
在 10 月 21 日当天，亚马逊还观测到多个概念验证（PoC）攻击，最早的一批出现在补丁发布前约 12 小时。由于攻击载荷和匿名基础设施各不相同，亚马逊判断涉及多个不同的攻击者。补丁发布后数小时内，新的漏洞利用即被投向亚马逊的传感器。亚马逊现将 PHP2Shell 描述为「正在野外被大规模利用」（broadly exploited），Cloudflare 观测到的攻击尝试已达数百万次级别。
威胁情报公司 Dataminr 同日表示，目前观测到的活动仍以扫描、指纹识别和无效利用为主，尚未确认有成功入侵案例，但出现有效利用只是时间问题。
漏洞背景
这两个漏洞影响所有 PHP 7.x 和 8.x 版本，由 Calif、OpenAI 和谷歌旗下 Wiz 的研究人员发现。漏洞代码在 PHP 中存在多年，今年 8 月由 OpenAI 资助的一次审计用 AI 模型证实其可被实际利用——这也正是「PHP2Shell」名称的由来。PHP 基金会已在 10 月 21 日发布修复版本：PHP 8.5.12、8.4.27、8.3.36 和 8.2.35。
亚马逊的建议：升级 PHP 是唯一的完整修复手段；调查应从 10 月 17 日开始查起；暂时无法打补丁的系统，可考虑屏蔽多部分文件上传（需先测试影响）。
💬 留言
暂时还没有留言，来抢沙发！