Amazon披露PHP2Shell漏洞禁运期前已遭攻击

Amazon 威胁情报团队披露，在 CVE-2026-109618 和 CVE-2026-109619 这两个 PHP2Shell 漏洞公开披露前四天，其已识别出针对相关漏洞的攻击活动。此次攻击源自与商业匿名化网络相关的 IP 地址。尽管当时漏洞信息处于禁运状态，但来自匿名 IP 的探测行为暗示存在威胁行为者，目前尚不清楚该行为者如何在官方披露前获取漏洞细节。

根据设定，PHP 漏洞信息的禁运窗口将于 2026 年 10 月 21 日 14:00 UTC 解除。在发布当天，Amazon 威胁情报监测到多个概念验证（PoC）漏洞的出现，最早的时间点约为 2026 年 10 月 21 日 02:00 UTC。随后，从 02:00 UTC 至 08:00 UTC 期间，Amazon 发现针对 MadPot 传感器的额外 PHP2Shell 利用尝试，这些尝试同样来自匿名基础设施。由于不同匿名基础设施使用的有效负载和选择策略存在差异，分析认为这涉及多个不同的参与者。目前技术分析仍在进行中，尚不确定这些尝试是否能在现实世界系统中成功执行。

随着禁运窗口在 2026 年 10 月 21 日 14:00 UTC 正式解除并伴随补丁发布，其他概念验证漏洞在数小时内相继出现，并几乎立即被用于攻击 Amazon 的传感器系统。目前，PHP2Shell 已在野外被广泛利用。

这一事件揭示了两个超越单一漏洞层面的教训：

1. 禁运期的局限性：禁运措施仅能保护防御者直至其他人独立发现同一错误。虽然协调披露仍是正确的模式，但防御者不应假设公开披露日期即为最早的利用日期。在 PHP2Shell 案例中，妥协可能在咨询发布之前就已发生。
2. 利用时间窗口的缩短：受结构性因素影响，从补丁发布到有效利用的时间正在显著缩短。过去，大部分利用发生在公开的概念验证发布之后，仅有少数具备高超技术的行为者能够率先行动，其余人则等待现成工具。这种依赖关系正在减弱。借助人工智能辅助分析，将补丁差异或建议转化为可操作的漏洞变得更为廉价且迅速。因此，一旦漏洞技术细节披露，更多参与者可在几小时甚至几分钟内采取行动。

对于安全领导者而言，这一趋势改变了以下工作假设：

1. 针对面向互联网系统中的关键漏洞，补丁和缓解时间表应以“小时”为单位计算。传统的 7 天或 30 天 SLA 所假定的延迟时间已不再存在。
2. 调查应从已知最早的开发时间点开始，而非从披露日开始。对于 PHP2Shell，调查至少应追溯至 10 月 17 日。
3. 投资于不依赖特定 CVE 签名的检测机制。首次利用通常发生在这些签名存在之前。

AWS 的多层防护体系

AWS 通过部署多层保护措施协助客户应对此类威胁。内部威胁情报系统能够自动检测并限制针对此漏洞的恶意扫描尝试。系统每分钟分析超过 200 亿次事件，并整合来自 MadPot 网络的威胁情报。Honeypot 系统具备早期检测漏洞、快速响应及深入分析威胁的能力。

紧急行动建议

1. 立即升级：升级到修复后的 PHP 版本是解决 CVE-2026-109618 和 CVE-2026-109619 的唯一完整补救措施。目前没有仅靠配置即可完全解决这两个问题的方案。
2. 临时缓解：在无法立即修补的 PHP 部署中，考虑阻止多部分文件上传，但在实施前需评估其对应用程序的影响。
3. 日志筛查：在表单上传请求中查找包含 PHP_SESSION_UPLOAD_PROGRESS 字符串的 POST 请求。
4. 异常检测：检查 Web 服务器日志是否存在可疑活动。
5. 主机排查：在 Web 应用服务器上检查是否有非预期的进程执行或文件修改。

妥协指标 (IOC)

上述 IP 地址属于共享的匿名化基础设施，并非仅限于此类威胁活动使用。组织应调查涉及这些地址的任何观察记录，而不是直接进行阻断。