亚马逊：PHP2Shell漏洞在补丁发布前已遭利用

攻击者正针对 PHP 编程语言中的两个严重漏洞——PHP2Shell 发起数百万次利用尝试。亚马逊表示，其系统在官方补丁发布前四天就已监测到首次攻击。尽管如此，欧洲网络安全官员表示黑客尚未能稳定利用该漏洞实施有效攻击，提前泄露和匆忙修复实际造成的损失仍在评估中。

攻击尝试激增

据 Politico 报道，Cloudflare 首席执行官马修·普林斯（Matthew Prince）周四早些时候表示，该公司已监测到“数百万次”漏洞利用尝试。The Register 报道称，在补丁正式公布前的 10 小时内，Cloudflare 记录了数千次尝试；公告发布后 45 分钟内激增至数万次，两小时内更是达到数十万次。Cloudflare 还指出，攻击者正在调整攻击载荷，试图绕过其防火墙防御。

相关漏洞编号为 CVE-2026-109618 和 CVE-2026-109619，危险评分均高达 9.2，允许攻击者在未经身份验证的情况下在服务器上远程执行代码。据 Security Affairs 报道，PHP 官方在漏洞细节泄露后紧急提前了发布时间，于 10 月 21 日推送了 8.5.12、8.4.27、8.3.36 和 8.2.35 版本的修复补丁。

亚马逊提前捕获攻击迹象

亚马逊威胁情报团队在一篇博文中披露，其用于吸引攻击者的 MadPot 蜜罐系统早在 10 月 17 日（周六）就记录了一起针对 PHP2Shell 的利用尝试。该攻击来自一个与商业匿名网络关联的 IP 地址。亚马逊首席信息安全官 CJ Moses 撰文指出：“目前尚不清楚攻击者如何在漏洞信息公开披露前获取到了利用方式。”

10 月 21 日协调世界时（UTC）凌晨 2 点左右，即补丁正式发布前约 12 小时，亚马逊观测到了多个概念验证（PoC）利用尝试。攻击载荷各不相同，亚马逊分析这表明攻击来自不同实体。亚马逊表示 PHP2Shell “目前正在野外被广泛尝试利用”，但尚不明确这些尝试是否能在真实业务系统中生效，并建议各大机构将排查可疑活动的时间线至少推回至 10 月 17 日。

欧洲官方尚未确认实质性入侵

德国联邦信息安全局（BSI）副局长托马斯·卡斯珀斯（Thomas Caspers）在接受 Politico 采访时透露，该机构监测到了大量攻击行为，但尚未发现成功利用的案例。“利用这个漏洞似乎比预想的要复杂一些，”他表示。荷兰网络安全局局长马蒂斯·范·阿梅尔斯福特（Matthijs van Amelsfort）也指出，目前没有迹象表明该漏洞正被成功滥用，但他警告情况随时可能发生变化。

为防范风险，欧洲多个政府部门采取了预防性关站措施。截至周四上午，法国司法部及数据保护监管机构的官方网站仍处于维护状态。