PHP2Shell 漏洞遭大规模利用，攻击早于披露启动
针对 PHP2Shell 关键漏洞（CVE-2026-109618 和 CVE-2026-109619）的攻击活动正在急剧升级。Cloudflare 数据显示，自本周初相关细节公开以来，针对这两个严重性评级为 9.2 的漏洞的利用尝试已达数百万次。
攻击规模呈指数级增长
Cloudflare 首席执行官 Matthew Prince 指出，在漏洞正式披露前的 10 小时内，该公司已检测到成千上万次的利用尝试。披露后仅 45 分钟，这一数字跃升至数万；两小时后更是达到百万级别。
值得注意的是，攻击者并未简单复用相同的恶意载荷。Cloudflare 观察到，攻击者正不断调整有效载荷以规避 Web 应用程序防火墙 (WAF) 的保护，并通过分析被拦截的请求来探测潜在的绕过路径。
Amazon 发现披露前攻击迹象
安全机构 Hadrian 于 10 月 21 日发出警报，确认 PHP2Shell 正在“大规模地在野外被利用”。该机构表示，大多数观察到的攻击滥用 PHP 的会话上传进度路径，并警告称在修复方案普及前后，预计会出现更多漏洞利用路径。
Amazon 威胁情报部门透露，早在补丁发布四天前的 10 月 17 日，其蜜罐系统 MadPot 就检测到了试图利用 PHP2Shell 的行为。尽管当时漏洞信息处于禁运状态，但来自匿名 IP 地址的活动暗示这是由威胁行为者发起的，目前尚不清楚攻击者如何在披露前获取漏洞细节。
Amazon 进一步指出，10 月 21 日发现了多个概念验证漏洞，最早的尝试出现在 UTC 时间 02:00 左右，即补丁发布前约 12 小时。随后六小时内，来自不同匿名基础设施的尝试持续增加，表明参与攻击的可能并非单一群体，而是多个独立的攻击者。
核心运行时漏洞影响广泛
与特定插件或应用缺陷不同，PHP2Shell 漏洞直接影响 PHP 运行时本身。由于涉及内存处理机制，未经认证的攻击者可在易受影响的服务器上执行恶意代码。这意味着无论使用何种内容管理系统，大量网站均面临风险。
此次事件还引发了关于披露流程的争议。据 The Register 报道，PHP 基金会指责供应链安全供应商 Chainguard 在公开期限之前发布了修补后的 PHP 版本。然而，Amazon 在 10 月 17 日的发现证实，至少有一名网络犯罪分子在官方事件发生前几天就已尝试利用这些漏洞。
防御建议与现状
Cloudflare 表示已在免费和付费计划中部署 WAF 保护，但强调这不能替代及时打补丁。鉴于攻击者在修复程序出现前便已行动，管理员除了关注补丁积压问题外，还需警惕潜在的历史入侵痕迹。
Amazon 建议组织调查至少可追溯至 10 月 17 日的可疑活动，以评估是否遭受了早期攻击。目前，这些早期尝试对真实世界系统的实际影响程度仍不明朗。
