亚马逊：PHP2Shell 漏洞利用在补丁发布前四天即已开始

亚马逊：PHP2Shell 漏洞利用在补丁发布前四天即已开始

亚马逊安全情报部门（Amazon Threat Intelligence）的网络安全研究人员证实，攻击者在官方安全补丁发布前整整四天，就开始针对严重的 PHP2Shell 漏洞进行攻击。

这两个关键漏洞的编号分别为 CVE-2026-109618 和 CVE-2026-109619，允许攻击者在受感染系统上执行远程代码（RCE）。PHP 开发团队在 10 月 21 日紧急发布了必要的补丁，此前一天，他们曾敦促系统管理员做好准备，以便在补丁发布后立即进行安装。

漏洞细节泄露与时间表加速

PHP 团队解释称，由于有关 PHP2Shell 漏洞的技术细节在互联网上泄露，其中包括 CVE 编号以及针对某些关键基础设施提供商的缓解建议，事态的发展比原定的完全披露计划提前了两天。尽管在补丁发布前出现了一些概念验证（PoC）代码，但 PHP 团队指出，当时这些代码并不具备实际的入侵功能。

现场攻击监测与起始时间

亚马逊的报告是在多家安全公司（包括 Cloudflare、watchTowr、Previdian、Hadrian 和 Patchstack）监测到公开披露前的失败利用尝试后发布的。据亚马逊云科技（AWS）首席信息安全官 CJ Moses 表示，首次尝试始于 10 月 17 日星期六，攻击源自属于商业匿名网络的 IP 地址。

Moses 补充说，所使用的实际载荷和用于隐藏身份的基础设施各不相同，这表明有多个攻击者参与其中。他警告防御者不要将公开披露日期视为攻击开始的最早时间，并强调这些漏洞目前正在野外被广泛利用。

这对系统和网站意味着什么？

PHP（超文本预处理器）语言是支撑互联网上约 80% 网站的开源编程基础，其中包括 WordPress、Drupal 和 Joomla 等流行的内容管理平台。VirusTotal 平台的数据显示，互联网上存在超过 510 万台暴露的 PHP 服务器，其中约 380 万台服务器至少有一个端口对潜在攻击开放，这使得其潜在影响范围极其广泛。