Amazon 威脅情報：公開揭露前四天就在 MadPot 蜜罐看到 PHP2Shell 利用嘗試

摘要

Amazon 整合安全長 CJ Moses 撰文：Amazon Threat Intelligence 在 MadPot 蜜罐遙測中，於 2026-10-17 就看到 PHP2Shell 利用嘗試，比 CVE-2026-109618／CVE-2026-109619 公開揭露早四天。禁運解除後數小時內，感測器幾乎立刻被打到，目前已在野廣泛利用。

重點

• 10/17 的嘗試來自與商業匿名網路相關的 IP。漏洞仍在禁運期間，打蜜罐且來源匿名，研判為威脅行為者所為；對方如何在揭露前取得利用資訊仍不明。
• 禁運原訂 2026-10-21 14:00 UTC 解除。當日約 02:00 UTC 已看到多份 PoC；02:00–08:00 UTC 另有來自其他匿名基礎設施的利用嘗試，payload 與匿名基礎設施選擇不同，研判為多名行為者。技術分析仍在進行，這些嘗試是否能在真實系統成功尚不清楚。
• 14:00 UTC 修補釋出後數小時內又出現更多 PoC，並幾乎立刻打到感測器。文中稱 PHP2Shell 現已在野被廣泛利用。
• 兩則超出單一漏洞的教訓：協調揭露仍是正確模式，但防守方不該假設公開日就是最早利用日；修補到可運作 exploit 的時間因 AI 輔助分析而縮短到數小時甚至數分鐘。
• 對資安主管的建議：網際網路暴露系統的修補要以小時計；調查起點至少從 10/17 算起；投資不依賴特定 CVE 簽章的偵測。
• 立即行動：升級到已修補 PHP 版本（唯一完整修復）；無法立刻修補時評估是否阻擋 multipart 上傳（先確認對應用的影響）；檢查網頁伺服器日誌、非預期行程與檔案變更。
• 文中列出若干觀察到的來源 IP，並註明其中包含共用匿名基礎設施，建議調查而非直接封鎖。

值得引用

“An embargo protects defenders only until someone else finds the same bug. … defenders should not assume the public disclosure date is the earliest date of exploitation.”