黑客在漏洞修复前数日便已开始利用 PHP 漏洞

# 黑客在补丁发布前几天就已利用了 PHP 漏洞 来源：https://www.wired.com/story/hackers-exploited-the-php-vulnerabilities-days-before-they-were-patched/ 最新发布的细节显示，周三互联网上紧急修补两个广泛使用的 Web 脚本语言 PHP 的关键漏洞（https://www.wired.com/story/this-is-not-a-drill-2-php-vulnerabilities-are-setting-the-internet-on-fire/）时，为阻止所有攻击已经为时已晚。 周三发布了针对 PHP 两个关键漏洞的修复程序后，管理员和安全人员竞相识别并修补存在漏洞的网站和应用，而攻击者则不可避免地对修复程序进行逆向工程，以了解如何利用这些漏洞。一些政府甚至其他组织为应对修复程序的发布，还主动下线了关键网站，以免在尚未应用补丁时遭到攻击。 但除了检测到周三出现的此类活跃利用行为外，Amazon Web Services（https://www.wired.com/tag/aws/）周三晚间发布的一项研究（https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/）表明，至少有一个攻击者早在 10 月 17 日就开始尝试利用这些漏洞——这组漏洞被统称为 PHP2Shell——比周三的公开披露提前了四天。 AWS 分析师在周三回顾一个蜜罐（honeypot）上的活动时发现了 10 月 17 日的利用行为。蜜罐是指故意设置为存在漏洞的 Web 服务器或其他数字诱饵，帮助研究人员研究攻击方法和趋势。此次利用尝试来自一个 IP 地址，AWS 称该地址与一个"商业匿名化网络"相关，换言之就是代理网络或 VPN（https://www.wired.com/gallery/best-vpn/）。 AWS 首席信息安全官 CJ Moses 在研究报告中写道："在漏洞保密期间，来自匿名化 IP 地址对蜜罐的针对性攻击表明，该活动是由威胁行为者实施的，但目前尚不清楚该行为者如何在披露前获取了漏洞利用信息。" PHP 基金会执行总监 Elizabeth Barron 告诉 WIRED，该组织在 AWS 发布研究之前并不知情，因此无法立即对研究结果发表评论。她补充说："虽然我们完全同意升级是绝对必要的，但据我们所知，目前还没有成功的远程代码执行攻击。" PHP2Shell 的概念验证漏洞利用（Proof-of-concept exploit）从周三开始在公开渠道陆续出现，其中一些似乎在美东时间上午 10 点正式公开披露之前数小时就已出现。在披露前的几个小时里，AWS 研究人员表示他们的蜜罐遭到了多次利用尝试，这些尝试使用了各种匿名化服务商进行隐藏，且似乎有着不同的攻击目标，这表明来自多个不同的攻击者。Moses 写道："技术分析仍在进行中，目前尚不清楚这些尝试中的任何一个是否会在真实系统中成功。"他还表示，"PHP2Shell 目前正在野外被广泛利用。" 尽管 10 月 17 日的利用是如何发生的以及来自何处尚不清楚，AWS 强调这些研究结果表明，鉴于全球都能使用 AI 工具来加速漏洞分析（https://www.wired.com/story/kernel-panic-ai-vulnerability-explosion/）并使技术能力较低的行为者（https://www.wired.com/story/ai-guardways-arent-stopping-criminal-hackers/）能够快速开发新漏洞利用程序，协调漏洞披露机制必须不断进化并加快速度。 Moses 写道："由于结构性原因，从补丁发布到可用漏洞利用程序出现的时间正在缩短。过去，我们观察到的大多数利用行为都出现在公开的概念验证程序发布之后。少数有能力的行为者构建漏洞利用程序，其他人则等待他们的成果。这种依赖关系正在削弱。AI 辅助分析使将补丁差异或安全公告转化为可工作的漏洞利用程序的成本更低。因此，一旦漏洞的技术细节被披露，更多行为者可以在数小时甚至数分钟内采取行动。" *更新于 2026 年 10 月 22 日美东时间上午 10:10，补充了 PHP 基金会的评论。*