亚马逊威胁情报团队的研究人员指出，在发布安全补丁之前的四天，攻击者就已经开始针对“PHP2Shell”漏洞发起攻击。
这两个严重漏洞（编号分别为 CVE-2026-109618 和 CVE-2026-109619）允许攻击者在受影响的系统上执行远程代码（RCE）。PHP 安全团队于10 月21 日发布了补丁；在此的前一天，他们曾敦促管理员做好准备，以便在补丁发布后立即进行安装。
PHP 核心开发人员在漏洞披露前曾发出警告，称应用官方安全补丁是唯一的彻底防御手段。与此同时，英国国家网络安全中心（NCSC）也要求英国境内的相关机构立即更新其 PHP 服务器，或者在完成补丁安装前将其下线。
PHP 团队表示，整个修复与披露流程原本按计划进行，但在协调披露日期的前两天，由于“PHP2Shell”漏洞的相关细节（包括两个 CVE 编号以及提供给部分关键基础设施提供商的缓解建议）在网上泄露，团队不得不在10月20日提前发布补丁。
尽管在补丁发布前已出现了一些概念验证（PoC）代码，但 PHP 安全团队表示，这些代码均无法实际运行。在漏洞公开披露之前，多家网络安全公司（包括Cloudflare、watchTowr、Previdian、Hadrian 和 Patchstack）也监测到了针对该漏洞的攻击尝试，但这些尝试均未成功。
实际环境中的攻击活动
据亚马逊称，最早的攻击尝试始于 10 月 17 日，即“PHP2Shell”补丁发布的前四天。在漏洞披露后的数小时内，攻击者便利用VPN IP地址部署了多种“PHP2Shell”概念验证攻击代码。
AWS 首席信息安全官CJ Moses 表示：“这些攻击尝试源自一个与商业匿名化网络相关的 IP 地址。在漏洞处于保密披露阶段时，攻击者通过匿名 IP 地址针对蜜罐发起攻击，这表明该活动是由某个威胁行为体所为。不过，目前尚不清楚该行为体是如何在漏洞公开披露之前获取到相关攻击信息的。” “所使用的实际载荷以及匿名化基础设施的选择各不相同，这表明背后涉及多个不同的攻击者。目前技术分析仍在进行中，尚不清楚这些尝试在实际系统环境中是否能够成功。”
Moses 补充道，PHP2Shell 漏洞“目前正被广泛利用”，尽管尚不清楚其中有多少攻击真正得手。他同时提醒：“防御者不应将漏洞公开披露的日期视为攻击者开始利用该漏洞的最早时间点。”
PHP（超文本预处理器）是一种开源 Web 开发语言，支撑着互联网上高达 80% 的网站，其中包括使用WordPress、Drupal 和Joomla 等主流内容管理系统（CMS）的网站。
VirusTotal 目前监测到超过 510 万个暴露在互联网上的 PHP 主机，其中约 380 万个主机至少有一个端口处于开放状态，面临被攻击的风险。
