Amazon 称 PHP2Shell 利用始于补丁发布前 4 天

Amazon Threat Intelligence 的安全研究人员表示，攻击者早在周三安全补丁发布前四天就开始针对 PHP2Shell 漏洞。

这两个被追踪为 CVE-2026-109618 和 CVE-2026-109619 的严重漏洞可让攻击者在易受攻击的系统上获得远程代码执行（RCE）。PHP 安全团队于 10 月 21 日修复了它们，此前一天曾敦促管理员在更新可用时立即安装。

PHP 核心开发者 Gina Peter Banyard 在披露前警告称，应用官方安全补丁是唯一的永久防御手段，而英国国家网络安全中心（NCSC）要求英国组织立即更新 PHP 服务器，或在能够打补丁之前将其下线。

PHP 团队表示，在协调披露前两天之前，一切均按计划进行，但由于有关 PHP2Shell 安全漏洞的一些细节（包括两个 CVE 编号以及提供给部分关键基础设施提供商的缓解建议）在网上泄露，其不得不从 10 月 20 日起加快原定的发布日期。

尽管一些概念验证代码也在补丁发布前被公开，但 PHP 安全团队表示，没有一个是可用的。

Amazon Threat Intelligence 的报告发布之前，多家网络安全公司（包括 Cloudflare、watchTowr、Previdian、Hadrian 和 Patchstack）已在公开披露前检测到不成功的利用尝试。

在野利用？

据亚马逊称，最早的利用尝试始于 10 月 17 日周六（即 PHP2Shell 补丁发布前四天），攻击者在披露后数小时内从 VPN IP 地址部署了多个 PHP2Shell 概念验证利用代码。

"该利用尝试源自一个与商业匿名化网络相关联的 IP 地址。虽然该漏洞处于保密协议之下，但来自匿名化 IP 地址对蜜罐的攻击表明该活动是由威胁行为者实施的，不过目前仍不清楚该行为者如何在披露前获取利用信息，"AWS 首席信息安全官 CJ Moses 表示。

"实际的载荷和匿名化基础设施的选择各不相同，表明这些是多个行为者。技术分析仍在进行中，尚不清楚这些尝试是否会在真实系统中成功。"

Moses 补充说，PHP2Shell 漏洞"目前正在被广泛地在野利用"，尽管尚不清楚有多少攻击成功，并警告"防御者不应假设公开披露日期是最早的利用日期"。

今天，Dataminr 的威胁研究与网络工程（TRACE）团队也发布了一份报告，指出"自漏洞披露以来观察到的活动仍仅限于扫描、指纹识别和使用不可用的利用代码，没有已知的入侵"，并补充说"可用的 POC 或成功的利用活动的出现只是时间问题"。

PHP（Hypertext Preprocessor）是一种开源 Web 开发语言，支撑着互联网上多达 80% 的网站，包括使用 WordPress、Drupal 和 Joomla 等热门内容管理系统（CMS）的网站。

VirusTotal 目前追踪到超过 510 万个暴露在互联网上的 PHP 主机，其中约 380 万个至少有一个端口开放攻击面。