亚马逊公司称，php2shell漏洞的利用活动在该漏洞被公开披露前四天就已开始，这意味着有人提前获知了这款流行软件中存在的缺陷。
该公司发布了自己的分析报告，显示攻击实际上在更早之前就已开始。
“亚马逊威胁情报部门在MadPot遥测数据中发现了一次php2shell利用尝试，时间可追溯至2026年10月17日，比CVE-2026-109618和CVE-2026-109619的公开披露时间早了四天，”该公司在一份安全公告中表示。“此次利用尝试源自一个与商业匿名化网络相关联的IP地址。在该漏洞仍处于保密期间，攻击者针对蜂罐系统使用匿名化IP地址进行攻击，这表明此次活动是由某个威胁行为者实施的，但目前仍不清楚该行为者是如何在披露之前获取漏洞利用信息的。”
披露前四天的攻击
在补丁发布当天，也就是事件发生的第四天，亚马逊威胁情报部门发现了多个概念验证（PoC）漏洞利用代码，由于载荷和所选用的匿名化基础设施存在差异，这很可能是多个威胁行为者的作品。该公司目前正在分析这些载荷，以确定它们在实际环境中是否能够成功实施攻击。
PHP基金会此前与多家合作伙伴一起，针对两个被追踪为CVE-2026-109618和CVE-2026-109619、昵称为“php2shell”的严重漏洞开发修复方案。这两个漏洞的严重性评分均为9.2/10（满分10分），均可被用于完全控制网站。鉴于PHP是用于编写现存绝大多数网站的编程语言，这些漏洞相当危险，需要经过精心协调的披露和打补丁流程。
补丁原定于10月21日发布，提前知晓该漏洞的相关人员被要求在补丁正式发布前不得披露细节。然而，就在保密期即将解除的几个小时前，安全公司Chainguard被曝已经发布了包含这些漏洞修复方案的容器镜像。与此同时，有消息开始传出，称网络犯罪分子正在积极利用php2shell攻击网站。
局面瞬间失控——全球多家重要的政府、教育及医疗机构网站出于预防性考虑纷纷下线，而PHP基金会也发布警报，要求管理员做好准备，并在补丁发布后立即应用。
ASLR是什么，为何对php2shell的防护至关重要
目前尚未出现大规模成功利用案例的原因之一，据称与ASLR有关。ASLR全称为地址空间布局随机化（Address Space Layout Randomization），这是一种安全功能，能在程序每次运行时随机改变其代码和数据在内存中的存储位置。这一说法来自Pluto Security安全研究总监约塔姆·佩尔卡尔（Yotam Perkal）。
“php2shell似乎并不容易被利用。我认为，我们至今未看到大规模成功利用案例的部分原因在于，想要实现可靠的代码执行，攻击者必须绕过ASLR这一内存保护机制，它会随机化代码在内存中的存放位置，”佩尔卡尔表示。“远程实现这一点相当困难，目前网上流传的大部分公开PoC（其中不少是通过‘氛围编程’生成的）在真实系统上根本无法可靠运行。”
“不过，我不认为这种情况会一直持续下去。漏洞利用技术会不断改进，而目前外界大多数PHP服务器仍未打补丁，因此各团队应当立即打补丁并重启PHP工作进程。但相较于发布前后的种种风波而言，目前实际发生的大规模利用情况看起来还算有限。”
与此同时，Cloudflare表示，漏洞披露后数小时内发起的攻击数量惊人，且以前所未有的速度持续增长。该公司首席执行官马修·普林斯（Matthew Prince）在X平台上发文称，团队在补丁公布前的10个小时内就观测到数千次利用尝试。披露后一小时内，这一数字增长至数万次，两小时内达到数十万次。而现在，这一数字已经达到数百万次。
更令情况雪上加霜的是，不同的威胁行为者正以不同方式应对这些漏洞，并在攻击过程中不断调整策略。据Cloudflare称，部分威胁行为者会根据被拦截请求所反馈的信息来修改其攻击载荷，目的都是为了绕过网络应用防火墙（WAF）的防护。
