PHP2Shell 提早四日現蹤 AWS 證披露前攻擊
PHP2Shell 的故事有新發展：Amazon Threat Intelligence 證實，早在漏洞公開披露前四日（10 月 17 日），偵測網絡 MadPot 已錄得針對 CVE-2026-109618 及 CVE-2026-109619 的利用企圖——來自商業匿名化網絡的 IP，意味活動極可能出自真正的威脅行為者。
- 最早攻擊嘗試：10 月 17 日，比公開披露早四日
- 披露日（10 月 21 日）02:00 UTC 起錄得多個 PoC，較修復發布早約 12 小時
- payload 與匿名化基建各異，AWS 懷疑涉及多個行為者
- 修復發布後數小時內，PoC 幾乎即時被用於攻擊感測器
- AWS：調查應由 10 月 17 日起排查，不應以公告日為起點
披露前的四日窗口
首個利用企圖出現在 10 月 17 日的 MadPot（AWS honeypot 偵測網絡）遙測中，當時兩個漏洞仍在保密期。AWS 指出，該 IP 連接商業匿名化網絡，匿名基建打 honeypot 的行為顯示活動出自威脅行為者——但行為者如何在披露前取得漏洞資訊，至今仍然不明。到 10 月 21 日披露日，多個概念驗證exploit最早於約 02:00 UTC 出現，距離預定 14:00 UTC 的修復發布僅約 12 小時；02:00 至 08:00 UTC 期間，更多來自其他匿名化基建的嘗試被錄得，payload 與匿名化服務各異，AWS 懷疑涉及多個行為者。保密期結束、PHP 發布修復後，更多 PoC 在數小時內出現，並幾乎即時被用於攻擊 AWS 感測器——PHP2Shell 已在實際環境被廣泛利用。
防護覆習
PHP2Shell 指向 PHP runtime 的兩個嚴重漏洞：攻擊者只需特製 web request，即可在易受攻擊伺服器上未經認證執行指令。修復版本 8.5.12、8.4.27、8.3.36 及 8.2.35 已於 10 月 21 日發布。AWS 強調，漏洞在 PHP 本身——只更新 WordPress 或 Drupal 等應用冇用，必須更新 runtime；亦沒有任何純設定變更可同時完全應對兩個漏洞。未能即時修補的系統，可評估後考慮封鎖 multipart 檔案上載（不能取代修補）。排查方面，AWS 建議檢查 web server 記錄中有否 multipart 表單內含 PHP_SESSION_UPLOAD_PROGRESS 字串的 POST 請求，並留意 PHP 產生的異常處理程序及不明檔案改動；公司同時公布六個相關 IP（一個 10 月 17 日、五個 10 月 21 日），但提醒部分屬共享匿名化基建，應調查匹配事件而非自動封鎖。Cloudflare 亦證實披露前已部署 WAF 防護並觀察到攻擊流量。更大的教訓：攻擊者正用 AI 加速開發 exploit——別再假設漏洞公開後攻擊才開始。
資料來源：Security Affairs｜AWS Security Blog
(開版為AI生成配圖，只供參考會意)
