Amazon安全研究团队通过MadPot监测网络发现，针对PHP2Shell漏洞（CVE-2026-109618和CVE-2026-109619）的利用尝试最早可追溯至2026年10月17日，比官方披露时间提前了四天。此次攻击源自与第三方匿名网络关联的IP地址。
尽管PHP禁令窗口于10月21日14:00（UTC）解除，但在披露当日02:00（UTC）起，团队便检测到多份概念验证（PoC）代码及来自不同匿名基础设施的利用尝试。随着补丁发布，更多PoC代码在数小时内被投入实战，目前该漏洞已出现广泛利用活动。
此次事件揭示了当前网络安全面临的两大严峻挑战：
PHP2Shell漏洞带来的安全启示
实际利用早于公开披露
协同披露机制虽仍有效，但企业不应将“公开披露日”等同于“最早利用日”。潜在受影响时间点往往远早于安全公告发布，防守方需在他人独立发现漏洞前争取时间。
AI加速漏洞武器化进程
AI辅助分析大幅降低了将补丁差异或安全公告转化为可用利用代码的门槛。从“补丁发布”到“可用Exploit出现”的间隔正急剧缩短，技术细节一旦公开，攻击者可能在数小时甚至数分钟内付诸行动。
安全防御策略更新建议
修复窗口以“小时”计：面向互联网的严重漏洞，其打补丁和缓解的时间窗口应精确到小时级，传统的7天或30天SLA缓冲期已不再适用。
回溯排查起点前移：调查应以“已知最早利用时间”而非“披露日期”为起点。例如针对PHP2Shell，排查范围至少需回溯至10月17日。
建设非签名检测能力：首次利用往往发生在对应CVE签名出现之前，应着力构建不依赖特定签名的通用检测机制。
亚马逊云科技防护体系与应对建议
亚马逊云科技通过多层防护体系守护客户安全。内部风险系统结合每分钟超2000亿条事件分析及MadPot蜜罐网络，已自动检测并拦截针对该漏洞的异常扫描与利用尝试，实现了早期察觉与快速响应。
建议立即采取以下行动：
升级修复版本：第一时间升级到已修复的PHP版本。这是彻底解决CVE-2026-109618和CVE-2026-109619的唯一途径，不存在仅靠配置即可完全规避的变通方案。
临时缓解措施：若暂时无法打补丁，可评估禁用多部分（multi-part）文件上传功能，但务必确认其对业务应用的影响。
监控可疑流量：重点排查POST请求中包含PHP_SESSION_UPLOAD_PROGRESS字符串的表单上传流量。
日志与服务器审查：全面审查Web服务器日志及Web应用服务器状态，排查任何异常活动、进程执行或文件改动。
漏洞管理需适应AI时代攻击节奏
PHP2Shell事件表明，从漏洞披露到利用尝试的窗口期已缩短至数小时。漏洞管理必须从周期性扫描转向持续运行模式。亚马逊云科技推出的AI原生安全能力Amazon Continuum（目前于海外区域提供），可在代码与资产中持续识别潜在漏洞，结合可利用性与业务影响进行优先级排序，验证漏洞实际可利用性并支持自动化修复，助力团队大幅缩短从发现到修复的周期。
本篇作者
CJ Moses
CJ Moses现任Amazon Integrated Security首席信息安全官（CISO），负责领导Amazon整体的安全工程与安全运营工作。他致力于让安全措施更易于实施，使Amazon各业务部门能够以更简单、高效的方式获得安全保障。
新用户注册海外区域账户，可获得最高200美元服务抵扣金，覆盖Amazon Bedrock生成式AI相关服务。“免费计划”账户类型，确保零花费，安心试用。
听说，点完下面4个按钮
就不会碰到bug了！
点击阅读原文查看博客！获得更详细内容！