亚马逊确认在公开披露之前的10月17日已出现PHP2Shell漏洞利用活动

# Amazon Threat Intelligence 在 MadPot 中发现 PHP2Shell 在公开披露前已遭利用 | Amazon Web Services 来源：https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/ Amazon Threat Intelligence 在 MadPot 遥测数据中发现了一次可追溯至 2026 年 10 月 17 日的 PHP2Shell 利用尝试，比 CVE\-2026\-109618 和 CVE\-2026\-109619 的公开披露早了四天。这次利用尝试源自一个与商业匿名化网络关联的 IP 地址。在漏洞仍处于禁披露期时，有人从匿名化 IP 地址对蜜罐发起攻击，这表明该活动可能由威胁行为者实施，但目前尚不清楚该行为者如何在披露前获取了漏洞利用信息。 PHP 漏洞的禁披露期原定于 2026\-10\-21 1400 UTC 结束。在发布当天，Amazon Threat Intelligence 发现了多个针对该漏洞的概念验证利用程序，最早的约出现于 2026\-10\-21 0200 UTC。随后，在 2026\-10\-21 0200 UTC 至 2026\-10\-21 0800 UTC 期间，Amazon Threat Intelligence 发现，其他匿名化基础设施也对 MadPot 发起了更多 PHP2Shell 利用尝试。实际载荷和所选匿名化基础设施各不相同，表明这些活动可能涉及多个行为者。技术分析仍在进行中，目前尚不清楚这些尝试是否能在实际系统中成功。 禁披露期实际于 2026\-10\-21 1400 UTC 结束。禁披露期结束且补丁发布后，数小时内便出现了更多概念验证利用程序，我们几乎立即就观察到有人使用这些程序攻击我们的传感器。目前，PHP2Shell 已在真实环境中遭到广泛利用。 此次事件带来的两点教训，其适用范围远不止这一个漏洞： 1. 禁披露期只能在其他人发现同一漏洞之前为防御方提供保护。协调披露仍然是正确的模式。但防御方不应假定公开披露日期就是最早的漏洞利用日期。对于 PHP2Shell，入侵可能发生在安全公告发布之前。 2. 从补丁发布到可用利用程序出现的时间，正因结构性原因而缩短。过去，我们观察到的大多数漏洞利用都发生在公开的概念验证程序发布之后。少数能力较强的行为者开发利用程序，其他人则等待这些程序发布。这种依赖正在减弱。AI 辅助分析降低了将补丁差异或安全公告转化为可用利用程序的成本。因此，一旦漏洞的技术细节披露，更多行为者就能在数小时甚至数分钟内采取行动。 对于安全负责人而言，这改变了几项工作中的基本假设： 1. 对于面向互联网的系统中的严重漏洞，应以小时为单位衡量补丁修复和缓解措施的实施时限。7 天或 30 天的 SLA 所假定的缓冲时间已不复存在。 2. 应从已知最早的漏洞利用时间开始调查，而不是从披露日期开始。对于 PHP2Shell，至少应从 10 月 17 日开始调查。 3. 投资建设不依赖特定 CVE 特征签名的检测能力。首次漏洞利用往往发生在这些特征签名出现之前。 ## AWS 如何帮助保护客户 AWS 部署了多层防护措施，帮助保障客户安全。我们的内部威胁情报系统自动检测并限制了针对该漏洞的恶意扫描尝试。我们每分钟分析超过 2000 亿个事件，并整合来自 MadPot 蜜罐网络的威胁情报，以实时识别和阻止已知的漏洞利用尝试。我们的蜜罐系统能够及早发现漏洞利用尝试，从而支持快速响应和威胁分析。 ## 建议立即采取的措施 1. 立即升级到已修复的 PHP 版本。升级是彻底修复 CVE\-2026\-109618 和 CVE\-2026\-109619 的唯一方法。不存在仅靠配置调整就能彻底解决这两个问题的变通方案。 2. 对于无法立即安装补丁的 PHP 部署，考虑阻止 multipart 文件上传，但在实施前应确定这会对应用程序产生什么影响。 3. 查找表单上传中包含 PHP\_SESSION\_UPLOAD\_PROGRESS 字符串的 POST 请求。 4. 检查 Web 服务器日志中是否存在可疑活动。 5. 检查 Web 应用服务器上是否存在异常的进程执行或文件修改。 ### 入侵指标 \(IOC\) **IP 地址** **观察日期** **103\.216\.220\.92** 10/17/2026 **31\.223\.184\.166** 10/21/2026 **37\.19\.200\.5** 10/21/2026 **134\.209\.159\.64** 10/21/2026 **103\.114\.163\.188** 10/21/2026 **95\.217\.98\.37** 10/21/2026 已识别的 IP 地址包括共享匿名化基础设施，并非专用于此次威胁活动。组织应调查涉及这些地址的所有观测记录，而非直接封禁这些地址。 请参阅我们的博文《使用 AWS WAF 针对 PHP2Shell RCE 漏洞 \(CVE\-2026\-109618 和 CVE\-2026\-109619\) 实施缓解措施》(https://aws.amazon.com/blogs/security/using-aws-waf-to-apply-mitigations-for-php2shell-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)，了解如何使用 AWS Web Application Firewall，在安装补丁期间帮助降低风险暴露。 如有疑问，请在 AWS re:Post (https://repost.aws/tags/TAO7Z4bI5hQVWMiYFs34QhIA) 上发起新话题，或联系 AWS Support (https://console.aws.amazon.com/support/home)。 ---