新发布的细节揭示，星期三网络为了修补PHP这一广泛使用的网络脚本语言中的一对严重漏洞而进行的疯狂奔走，已经晚于阻止每一个攻击。星期三发布的针对PHP两项严重漏洞的修复，使管理员和安全人员争先恐后地识别和修补易受攻击的网站和应用程序，而攻击者则不可避免地逆向工程修复以学习如何利用这些缺陷。为了避免在申请补丁之前成为攻击目标，一些政府和其他组织甚至主动关闭了关键网站，预期将发布修补程序。但是，除了在星期三检测到这种主动利用之外，亚马逊网络服务公司星期三晚上发布的研究表明，至少有一个参与者在10月17日开始尝试利用这些漏洞——统称为PHP2Shell——这比星期三的公开披露早了四天。AWS分析师在调查他们所称的蜜罐（即故意设置的易受攻击的网络服务器或其他数字诱饵，以帮助研究人员研究攻击方法和趋势）上的活动时，于星期三发现了10月17日的利用行为。该尝试来自一个AWS表示与“商业匿名化网络”相关的IP地址，换句话说，就是一个代理网络或VPN。“虽然漏洞在保密期内，但来自匿名IP地址对蜜罐的攻击表明该活动是由威胁参与者进行的，但尚不清楚参与者在披露前是如何获得漏洞利用信息的，”AWS的首席信息安全官CJ Moses在研究帖子中写道。PHP2Shell的概念验证漏洞利用在星期三公开出现，有些似乎在东部时间上午10点的公开披露前几个小时就出现了。在披露前的几个小时内，AWS的研究人员表示，他们的蜜罐遭遇了来自不同提供商的多次利用尝试，并似乎有不同的攻击目标，可能表明多个不同的参与者。“技术分析仍在继续，目前尚不清楚这些尝试是否会在实际系统中成功，”Moses写道。他补充说，“PHP2Shell现在在野外被广泛利用。”PHP基金会尚未立即回应WIRED的评论请求。尽管尚不清楚10月17日的利用是如何发生以及来源何处，AWS强调，这些发现突显了如何协调的漏洞披露必须随着全球访问AI工具以加速漏洞分析而演变和加快，“从补丁到有效漏洞利用的时间因结构原因而缩短，”Moses写道。“过去，我们观察到的大部分利用是在公开概念证明发布之后发生的。一小部分有能力的参与者构建了利用程序，其他所有人则等待他们。这种依赖性正在减弱。AI辅助分析使将补丁差异或通告转化为有效利用变得更便宜。因此，一旦漏洞的技术细节被披露，更多参与者可以在几小时甚至几分钟内行动。