Amazon Threat Intelligence 最近识别出了针对 PHP 漏洞（被称为 PHP2Shell）的利用尝试，这些活动可追溯到 2026 年 10 月 17 日。这些活动是通过 MadPot 检测到的，这是亚马逊用于监控和分析恶意流量的蜜罐网络。值得注意的是，这些尝试发生在相关漏洞 CVE-2026-109618 和 CVE-2026-109619 公开披露前的四天，这些漏洞在 2026 年 10 月 21 日之前处于禁运状态。
在漏洞仍处于禁运状态时，从匿名基础设施中检测到这些尝试表明，威胁行为者可能提前获取了漏洞利用信息。在禁运正式解除后，亚马逊观察到针对其传感器的概念验证（PoC）利用程序和即时利用尝试大幅增加。这些事件中使用的有效载荷和匿名基础设施的多样性表明，有多个不同的行为体参与了针对该漏洞的攻击。
这张图片代表了用于检测 PHP2Shell 利用尝试的 Amazon Web Services 安全基础设施。
亚马逊的分析指出网络安全格局发生了结构性转变：发布补丁到可用利用程序出现之间的时间正在缩短。报告将此归因于 AI 辅助分析，这使得行为者将补丁差异或安全公告转化为功能性利用程序的成本显著降低且速度加快。因此，亚马逊建议安全负责人转变操作假设，建议针对关键互联网面向系统的补丁和缓解时间以“小时”而非“天”或“周”来衡量。他们还建议从最早已知的利用日期而非公开披露日期开始调查，以确保全面的事件响应。
为了降低这些风险，亚马逊建议立即升级到修复后的 PHP 版本，因为没有任何仅限配置的变通方法能完全解决这两个 CVE。对于无法立即打补丁的系统，他们建议考虑阻止多部分文件上传，并监控特定指标，例如包含 'PHP_SESSION_UPLOAD_PROGRESS' 字符串的 POST 请求。亚马逊还指出，虽然他们使用内部威胁情报实时拦截已知尝试，但新漏洞的首次利用往往发生在安全签名可用之前，因此需要转向不完全依赖特定 CVE 签名的检测方法。
虽然主要来源侧重于这些尝试的早期检测，但目前尚不清楚任何在披露前的利用尝试是否成功入侵了现实世界的系统。此外，报告指出识别出的 IP 地址是共享匿名基础设施的一部分，并非仅限于此特定的威胁活动，这意味着组织应将其作为更广泛调查的一部分，而不是作为封锁的决定性依据。