NETG

攻击者正通过数百万次尝试猛烈攻击服务器，以利用关键的 PHP2Shell 漏洞。亚马逊透露，在漏洞公开披露前四天，已有人着手利用这些缺陷。

Cloudflare 表示，自本周早些时候相关细节开始流传以来，针对这两个被追踪为 CVE-2026-109618 和 CVE-2026-109619 的漏洞的攻击数量出现了惊人的增长。

据 Cloudflare 首席执行官 Matthew Prince 称，该公司在漏洞公开宣布前的 10 小时内就发现了数千次利用尝试。在披露后的 45 分钟内，这一数字激增至数万次；两小时内达到数十万次；此后更是攀升至数百万次。

而且，攻击者并非简单地重复使用相同的利用代码。Cloudflare 表示，它观察到不法分子正在调整其有效载荷，试图绕过其 Web 应用防火墙（WAF）的保护，显然是利用被阻止请求的反馈来摸索哪些方法可能奏效。

安全公司 Hadrian 也在 10 月 21 日发出警报，报告称 PHP2Shell 正在 “被大规模地在野外利用”。

该公司警告称：“我们观察到的大多数攻击都滥用了 PHP 的会话上传进度路径，我们预计在修复程序发布前后会出现更多的利用路径。”

更令人担忧的是，一些攻击者似乎在漏洞甚至尚未公开之前就已开始行动。

亚马逊威胁情报部门表示，它在 10 月 17 日检测到一次利用 PHP2Shell 的尝试，这比补丁发布早了四天。该活动被 MadPot 捕获，MadPot 是亚马逊用于引诱攻击者并记录其行为的蜜罐网络。

亚马逊表示：“虽然该漏洞仍处于保密期，但从匿名 IP 地址对蜜罐进行的攻击表明，该活动是由威胁行为者实施的，尽管目前尚不清楚该行为者如何在披露前获取利用信息。”

这家零售和云巨头表示，它在 10 月 21 日检测到多个概念验证（PoC）利用代码，最早的出现在协调世界时 02:00 左右，即补丁发布前约 12 小时。在接下来的六个小时里，来自不同匿名基础设施的进一步尝试接踵而至，使用了各种有效载荷。亚马逊认为，这表明存在多名攻击者，而非单一团伙。

目前尚不清楚这些尝试中是否有任何一次能在现实世界的系统中成功。

这些发现为本已混乱的披露过程增添了另一层复杂性。正如 The Register 周三报道的那样，PHP 基金会指责供应链安全供应商 Chainguard 在约定的披露截止日期之前发布已修补的 PHP 构建版本，从而使网站面临风险。

然而，亚马逊在 10 月 17 日的检测结果表明，至少有一名网络罪犯在那起事件发生前几天就已试图利用这些漏洞。

这些漏洞本身尤为恶劣。两者的严重等级均为关键的 9.2 级，影响 PHP 的内存处理机制，可能允许未经身份验证的攻击者在易受攻击的服务器上执行恶意代码。

与单个插件或应用程序中的缺陷不同，这些漏洞影响的是 PHP 运行时本身，无论网站使用何种内容管理系统，都可能使大量网站面临风险。

Cloudflare 表示，已在免费和付费计划中部署了 Web 应用防火墙（WAF）保护措施，但强调这些措施不能替代打补丁。

由于攻击者在修复程序可用之前就已开始尝试，管理员需要担心的可能不仅仅是补丁积压问题。亚马逊建议各组织调查至少回溯至 10 月 17 日的可疑活动，而不是假设在漏洞公开之前系统是安全的。®