亚马逊威胁情报团队在 Mad Pot 蜜罐遥测数据中发现了一次 PHP2Shell 利用尝试，时间可追溯至 2026 年 10 月 17 日，比 CVE-2026-109618 和 CVE-2026-109619 的公开披露早四天。该尝试来自一个与商业匿名网络相关的 IP 地址。尽管该漏洞处于禁运期，但针对蜜罐的攻击表明有威胁行为者在活动，目前尚不清楚该行为者是如何在披露前获得漏洞利用信息的。
PHP 禁运期定于 2026 年 10 月 21 日 14:00 UTC 解除。亚马逊威胁情报团队在发布当日观察到多个概念验证漏洞利用程序，最早出现在 02:00 UTC 左右。在 02:00 至 08:00 UTC 之间，针对 Mad Pot 的更多利用尝试来自其他匿名化基础设施。不同的payload表明可能有多个行为者，目前仍在进行技术分析，以确定这些尝试是否能够成功攻击真实系统。
补丁发布数小时内，更多概念验证漏洞利用程序相继出现，并几乎立即被用于攻击亚马逊的传感器。PHP2Shell 目前正在野外被广泛利用。亚马逊总结出两点教训：禁运只能在其他人发现同一漏洞之前保护防御者；公开披露日期可能并非最早的利用日期。由于 AI 辅助分析正在降低将补丁转化为可用漏洞利用程序的成本，从补丁发布到攻击之间的时间差正在缩小。
安全团队应以小时而非天为单位衡量面向互联网的关键漏洞的修补时间，从已知的最早利用时间开始调查，并部署不依赖特定 CVE 签名的检测机制。升级到已修复的 PHP 版本是唯一完整的修复方案。若无法立即打补丁，团队可在评估应用影响后考虑阻止多部分文件上传，并检查包含 PHP_SESSION_UPLOAD_PROGRESS 字符串的 POST 请求日志。
来源: Hacker News · 由HeadlinesBriefing整理摘要