亚马逊威胁情报在MadPot遥测中识别出一起追溯到2026年10月17日的PHP2Shell利用尝试，早于CVE-2026-109618和CVE-2026-109619的公开披露四天。该利用尝试源自与商业匿名化网络相关的IP地址。在漏洞被禁令保护期间，来自匿名IP地址的蜜罐攻击表明该活动是由某个威胁行为者进行的，尽管尚不清楚该行为者如何在公开之前获得了利用信息。这一PHP禁令窗口定于2026年10月21日14:00 UTC解除。在公布当天，亚马逊威胁情报识别出多个针对该漏洞的概念验证利用，最早的时间在2026年10月21日02:00 UTC。此后，从2026年10月21日02:00 UTC到2026年10月21日08:00 UTC，亚马逊威胁情报识别出来自其他匿名基础设施的针对MadPot的PHP2Shell追加利用尝试。实际的有效载荷和匿名化基础设施的选择各不相同，这表明这些是多个行为者。技术分析仍在进行中，目前尚不清楚这些尝试是否会在实际系统中成功。禁令窗口的正式解禁时间为2026年10月21日14:00 UTC。解除禁令和发布补丁后，几小时内出现了额外的概念验证利用，几乎立即被我们的传感器使用。PHP2Shell现在在现实环境中被广泛利用。这一事件提供了两个教训，这些教训超出了这一漏洞本身的范围：禁令只在其他人发现相同漏洞之前能够保护防御者。协调披露仍然是正确的模式。但是，防御者不应假定公开披露日期是利用的最早日期。对于PHP2Shell，妥协可能早于通知发布。从补丁到有效利用的时间因结构性原因而缩短。在过去，我们观察到的大多数利用发生在 public proof of concept 发布之后。一小部分有能力的行为者构建了利用，其他人则在等待。这种依赖正在减弱。人工智能辅助分析使得将补丁差异或通知转变为有效利用的成本降低。因此，一旦漏洞的技术细节被披露，更多行为者可以在几小时甚至几分钟内采取行动。对于安全领导者，这改变了若干工作假设：对于互联网面向的系统中的关键漏洞，补丁和缓解时间应以小时为单位进行测量。7天或30天的服务水平协议假定了不再存在的延迟。从已知的最早利用开始调查，而不是从披露日期开始。对于PHP2Shell，调查应至少从10月17日开始。投资于不依赖于特定CVE签名的检测。首次利用通常发生在这些签名存在之前。AWS部署了多层保护以帮助保障客户安全。我们的内部威胁情报系统自动检测并限制了针对这一漏洞的恶意扫描尝试。我们每分钟分析超过2000亿条事件，并整合来自MadPot蜜罐网络的威胁情报，以实时识别和阻止已知的利用尝试。我们的蜜罐系统使我们能够早期检测利用尝试，从而快速响应和进行威胁分析。请立即升级到修复的PHP版本。升级是解决CVE-2026-109618和CVE-2026-109619两个问题的唯一完整补救措施。没有仅依靠配置的变通方案能够全面解决这两个问题。考虑在无法立即修补的PHP部署中屏蔽多部分文件上传，但在部署之前确定这将如何影响您的应用程序。查找表单上传中的带有PHP_SESSION_UPLOAD_PROGRESS字符串的POST请求。审查Web服务器日志以查找可疑活动。检查Web应用服务器上的意外进程执行或文件修改。观察到的IP地址及日期：103.216.220.92 2026年10月17日，31.223.184.166 2026年10月21日，37.19.200.5 2026年10月21日，134.209.159.64 2026年10月21日，103.114.163.188 2026年10月21日，95.217.98.37 2026年10月21日。识别出的IP地址包括共享的匿名化基础设施，并且并不专属于此威胁活动。组织应调查任何涉及这些地址的观察，而不是封锁。请查看我们的博文《使用AWS WAF为PHP2Shell RCE漏洞（CVE-2026-109618和CVE-2026-109619）应用缓解措施，了解如何使用AWS Web应用程序防火墙帮助减少您的暴露，自补丁时开始。如果您有任何问题，请在AWS re:Post上开启新讨论或联系AWS支持。