亚马逊AWS部署的蜜罐在PHP2Shell漏洞公布前4天就记录到攻击尝试
内容提要
亚马逊AWS蜜罐在PHP漏洞公开前4天（10月17日）就记录到针对PHP2Shell的攻击尝试，攻击者如何提前获知漏洞尚不清楚。补丁发布后攻击尝试激增，Cloudflare观测已超数百万次，可能涉及多个黑客团体。PHP基金会称暂无成功入侵案例，专家也认为利用条件苛刻。该漏洞为无需认证的远程代码执行漏洞，评分9.2，建议用户尽快升级至PHP 8.5.12、8.4.27、8.3.36或8.2.35版。
延伸解读
漏洞公开前即遭探测：情报窗口早于补丁
AWS蜜罐在10月17日就记录到针对PHP2Shell的攻击尝试，比PHP基金会10月21日发布补丁早4天。攻击来自商业匿名网络，但攻击者如何提前获知漏洞信息仍不清楚。这说明漏洞情报可能在公开披露前已在特定圈子内流动，依赖“补丁发布后再行动”的防御节奏存在时间差，安全团队应更重视异常探测信号。
攻击量激增但成功案例尚未确认
补丁发布后，AWS观察到攻击尝试快速增加，Cloudflare记录的相关尝试已超数百万次，且载荷和匿名网络各异，可能涉及多个黑客团体。不过PHP基金会表示暂无成功入侵案例，专家也认为利用条件苛刻。高尝试量不等于高成功率，读者应区分“被扫描/被尝试”与“被攻破”，避免因数字恐慌而低估或高估风险。
无需认证的9.2分漏洞：升级仍是首要动作
PHP2Shell属于无需身份验证即可触发的远程代码执行漏洞，CVSS 4.0评分9.2，属严重级别。PHP基金会已发布8.5.12、8.4.27、8.3.36和8.2.35版修复，而8.1、7.x、5.x已停止维护、不会获得安全更新。即便当前利用条件苛刻，文章仍建议尽快升级，因为后续可能出现降低攻击难度的变体，旧版本用户没有补丁可等。
Q&A
PHP2Shell漏洞是什么？它的危险等级如何？
PHP2Shell是涉及CVE-2026-109618和CVE-2026-109619的漏洞，属于无需身份验证即可触发的远程代码执行漏洞，CVSS 4.0评分均为9.2分（满分10分），属于严重级别的安全漏洞。
亚马逊AWS蜜罐在PHP2Shell漏洞公布前有什么发现？
亚马逊威胁情报团队部署的蜜罐系统在10月17日就记录到针对PHP2Shell漏洞的攻击尝试，这距离PHP基金会公开发布修复版本（10月21日）还有4天。攻击尝试来自商业匿名网络，但攻击者如何提前获知漏洞尚不清楚。
PHP2Shell漏洞补丁发布后攻击情况如何？
补丁发布当天，亚马逊观察到多个概念验证攻击，随后数小时出现来自其他匿名网络的攻击尝试。之后攻击尝试快速增加，Cloudflare观测数据显示攻击尝试已超过数百万次，可能涉及多个黑客团体。
目前有网站因PHP2Shell漏洞被成功入侵吗？
根据PHP基金会掌握的证据，暂时还没有针对PHP2Shell漏洞成功的攻击案例。部分网络安全专家也表示该漏洞利用条件比较苛刻，成功利用并不容易。
如何修复PHP2Shell漏洞？应该升级到哪个版本？
PHP基金会已发布修复版本：PHP 8.5.12、8.4.27、8.3.36和8.2.35。建议用户尽快升级到这些不受影响的新版本。更早的版本如PHP 8.1、7.x、5.x已停止维护，不会发布安全更新。
为什么专家建议即使漏洞利用条件苛刻也要尽快升级PHP？
因为接下来黑客可能会利用人工智能技术辅助开发更多不同的攻击变体，某些攻击变体可能降低攻击难度形成通用型的攻击方案，所以建议用户尽快升级到不受影响的新版本。
