PHP2Shell 漏洞遭大范围利用：亚马逊称攻击早于补丁四天开始

发生了什么

AWS 首席信息安全官 CJ Moses 称，10 月 17 日（补丁发布四天前），公司的诱饵服务器遭到 PHP2Shell 利用尝试；攻击来自与商业匿名网络相关的 IP，当时漏洞仍在保密期，亚马逊尚不清楚攻击者如何提前获知漏洞信息。不同攻击的载荷与匿名基础设施各不相同，显示背后是多个行为体；技术分析仍在进行，尚不清楚这些尝试在真实系统中能否成功。

10 月 21 日，PHP 项目发布紧急补丁，修复版本为 8.5.12、8.4.27、8.3.36 与 8.2.35；8.1 及更早版本不再获得官方安全更新。两个漏洞均为严重远程代码执行漏洞，攻击者无需登录即可在服务器上运行代码；VirusTotal 追踪到超过 510 万台暴露在公网的 PHP 主机。

Dataminr 的威胁研究团队同日报告，自漏洞披露以来观察到的活动仅限于扫描、指纹识别与不可用的 exploit，“没有已知的入侵”，但“出现可用的概念验证或成功的利用活动只是时间问题”。PHP 基金会执行董事 Elizabeth Barron 对 The Verge 表示，据其所知尚未有成功的远程代码执行，但更新系统“势在必行”。Moses 警告：防御者不应把公开披露日当作最早被利用的日期。

关键事实

1. 攻击时间线：10 月 17 日首次攻击 → 10 月 21 日补丁发布；披露后数小时内出现多个概念验证 exploit。
2. 披露前，Cloudflare、watchTowr、Previdian、Hadrian、Patchstack 等多家安全公司已检测到未成功的利用尝试；漏洞细节在正式发布前已部分泄露。
3. 影响面：PHP 支撑全球约七至八成可识别编程语言的网站，包括 WordPress、Drupal、Joomla。