Amazon Threat Intelligence ने Mad Pot हनीपॉट टेलीमेट्री में 17 अक्टूबर, 2026 की तारीख वाला एक PHP2Shell शोषण प्रयास पहचाना, जो CVE-2026-109618 और CVE-2026-109619 के सार्वजनिक खुलासे से चार दिन पहले का है। यह प्रयास एक ऐसे IP पते से आया जो एक वाणिज्यिक अनामीकरण नेटवर्क से जुड़ा है। हालांकि यह कमजोरी एम्बार्गो के अधीन थी, फिर भी हनीपॉट को निशाना बनाने से संकेत मिलता है कि कोई थ्रेट एक्टर सक्रिय था, और यह स्पष्ट नहीं है कि उस एक्टर को खुलासे से पहले एक्सप्लॉइट जानकारी कैसे मिली।
PHP का एम्बार्गो 21 अक्टूबर, 2026 को 14:00 UTC पर हटना था। Amazon Threat Intelligence ने रिलीज़ के दिन कई प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट देखे, जिनमें सबसे पहला लगभग 02:00 UTC पर था। 02:00 से 08:00 UTC के बीच, Mad Pot को निशाना बनाने वाले अतिरिक्त शोषण प्रयास और अधिक अनामीकृत इन्फ्रास्ट्रक्चर से आए। अलग-अलग पेलोड से संकेत मिलता है कि कई एक्टर शामिल हैं, और यह निर्धारित करने के लिए तकनीकी विश्लेषण जारी है कि क्या कोई प्रयास वास्तविक सिस्टम के विरुद्ध सफल होता।
पैच जारी होने के कुछ ही घंटों के भीतर, और प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट सामने आए और लगभग तुरंत Amazon के सेंसर के विरुद्ध इस्तेमाल किए गए। PHP2Shell अब व्यापक रूप से वास्तविक दुनिया में शोषित किया जा रहा है। Amazon दो सबक निकालता है: एम्बार्गो तभी तक रक्षकों की रक्षा करता है जब तक कोई और वही बग नहीं खोजता, और सार्वजनिक खुलासे की तारीख शोषण की सबसे पहली तारीख नहीं हो सकती। चूंकि AI-सहायता प्राप्त विश्लेषण पैच को काम करने वाले एक्सप्लॉइट में बदलना सस्ता बना रहा है, पैच और हमले के बीच का अंतर सिकुड़ रहा है।
सुरक्षा टीमों को इंटरनेट-उन्मुख महत्वपूर्ण कमजोरियों के लिए पैच समय दिनों के बजाय घंटों में मापना चाहिए, ज्ञात सबसे पहले शोषण से जांच शुरू करनी चाहिए, और ऐसी पहचान तकनीकें लागू करनी चाहिए जो CVE-विशिष्ट सिग्नेचर पर निर्भर न हों। सुधारे गए PHP संस्करणों पर अपग्रेड करना ही एकमात्र पूर्ण समाधान है। जहां तत्काल पैचिंग संभव न हो, वहां टीमों को एप्लिकेशन पर प्रभाव का आकलन करने के बाद मल्टी-पार्ट फ़ाइल अपलोड को ब्लॉक करने पर विचार करना चाहिए, और PHP_SESSION_UPLOAD_PROGRESS स्ट्रिंग वाले POST अनुरोधों के लिए लॉग की समीक्षा करनी चाहिए।
स्रोत: Hacker News · HeadlinesBriefing द्वारा सारांशित