Amazon 稱 PHP2Shell 攻擊在修補程式發布前四天已開始，利用嘗試達數百萬次

Amazon稱，PHP2Shell攻擊在修補程式發布前四天已開始，攻擊嘗試增至數百萬次

Amazon.com Inc.披露，攻擊者在修補程式發布前四天已開始鎖定嚴重的PHP2Shell漏洞；Cloudflare Inc.觀察到的漏洞利用嘗試其後已增至數百萬次。

PHP 維護人員已修補這兩個漏洞，編號為 CVE-2026-109618 和 CVE-2026-109619。在協調發布前，相關詳情已外洩；維護人員於週三發布修補程式。這些漏洞在 PHP 程式碼中潛藏多年，直至 8 月由 OpenAI Group PBC 出資的一次審計，利用人工智能模型證明它們在實際情況下可被利用。

Amazon的MadPot蜜罐網絡記錄到最早一次攻擊嘗試，發生於10月17日，當時漏洞仍處於禁發期。流量來自一個與商業匿名網絡有關的IP地址。Amazon Integrated Security首席資訊保安總監CJ Moses在網誌文章中寫道，目前尚不清楚攻擊者如何在漏洞披露前取得相關利用資訊。

週三發布修補程式前數小時，更多探測流量抵達蜜罐；其攻擊載荷及匿名化基礎設施差異甚大，Amazon因此懷疑涉及多於一名攻擊者。目前仍未知道這些早期攻擊嘗試能否在真實系統上奏效。修補程式發布後數小時內，新的概念驗證漏洞利用程式便已出現，並幾乎立即被用來攻擊Amazon的感測器。該公司現形容這些漏洞「正在實際環境中遭到廣泛利用」。

Amazon認為，調查最遲應從10月17日開始。該公司表示，針對嚴重且面向互聯網的漏洞，七天及30天的修復期限都假設攻擊者會留出一段時間，但如今攻擊者已不再如此；因此，修補時限應以小時計算。

漏洞利用流量在披露公開後大幅躍升。Cloudflare行政總裁Matthew Prince週三深夜在X上寫道，披露前10小時內網絡記錄到「數千次攻擊嘗試」。公告發布後45分鐘內，攻擊嘗試增至數萬次；兩小時內則達數十萬次。他發文時，總數已達數百萬次。

目前尚未有上述流量與已確認的入侵事件扯上關係。WordPress保安公司Defiant Inc.今日表示，其Wordfence防火牆已封鎖超過74,000次漏洞利用及探測嘗試。在該公司保護的逾500萬個WordPress網站中，尚未發現任何已確認的入侵事件。實時事件及風險偵測公司Dataminr Inc.形容觀察到的活動「僅限於掃描、指紋識別，以及使用無效的漏洞利用程式」。該公司表示，能夠奏效的攻擊「只是時間問題」。

即使如此，世界各地的機構仍陸續將服務下線。包括美國國家安全局在內的多個網絡安全機構週三建議，如果系統無法立即更新，便應將其下線；路透社報道，從東京到赫爾辛基，銀行、鐵路及政府服務均已預防性下線。在日本，證券公司Nomura Holdings Inc.、貸款機構Mitsubishi UFJ Financial Group Inc.及East Japan Railway Co.今日暫停部分互聯網服務，國税廳亦暫時將其服務下線。南韓以黑客攻擊風險上升為由，提高私營機構的網絡安全警戒級別。

芬蘭政府 IT 服務供應商 Valtori 在夜間安裝修補程式後，開始解除對政府網上服務的封鎖。總幹事 Hannu Naumanen 表示，恢復這些服務「可能需要數天，甚至數星期」，因為系統需要仔細測試。

Microsoft Corp. 行政總裁 Satya Nadella 今日在德國一場活動上表示，他「很長很長時間以來都未見過類似情況」，據 Reuters 報道。他表示，對 IT 及保安人員來説，這是「漫長的一天，也是漫長的一夜」。

SecurityScorecard Inc. 公共政策主管、前美國特勤局助理局長 Michael Centrella 向 SiliconANGLE 表示，政府機構應按系統故障對任務的影響為暴露於網絡的系統排序，包括對公共安全、健康及支付的影響。他説：「看似數以百計的獨立漏洞，可能其實源自較少數量的共同故障點，足以引發連鎖式服務中斷。」

仍有大量伺服器可能永遠不會安裝修補程式。德國數碼產業協會 Bitkom 保安主管 Felix Kuhlenkamp 向 Reuters 表示，許多規模較小的營運商「用 PHP 運行網站，但其實不太留意網站的狀況」。他説，如果網站仍使用沒有安全更新的舊版本，「就必須更新整個系統」。

Strike Graph Inc. 創辦人兼行政總裁 Justin Beals 向 SiliconANGLE 表示：「停止支援的數量應令人警醒。」他引用漏洞情報公司 VulnCheck Inc. 的數據指出，至少有 1 million 個面向互聯網的主機仍使用已不再獲得更新的 PHP 版本。Beals 説：「任何已停止支援的項目都應列入風險登記冊，並指定負責人及退役日期。」

Black Hills Information Security Inc. 負責人 John Strand 表示，外掛程式及其他依賴項可能令應用程式綁定特定 PHP 版本，因此更新 PHP 本身可能會破壞業務所依賴的功能。Strand 向 SiliconANGLE 表示：「『直接安裝修補程式就好』聽起來很理想，直到更新令你的網站停擺為止。更快發現漏洞，不代表機構就能更快修復漏洞。我們仍在努力修補已知存在漏洞的系統。作為一個行業，我們尚未準備好應對這種差距持續擴大。」

圖片：SiliconANGLE/GPT Image 2.5

來自 SiliconANGLE 共同創辦人 John Furrier 的訊息：

加入 theCUBE 社羣，支持我們維持內容開放及免費的使命。加入 theCUBE’s Alumni Trust Network，與科技領袖交流、分享情報並創造機會。

• theCUBE 影片的觀眾逾 15M+，推動 AI、雲端、網絡安全等領域的交流
• theCUBE 校友逾 11.4k+ — 透過以信任為本的獨特網絡，與超過 11,400 名塑造未來的科技及商業領袖建立聯繫

SiliconANGLE Media 是數碼媒體創新的公認領導者，結合突破性科技、策略洞見及即時觀眾互動。作為 SiliconANGLE、theCUBE Network、theCUBE Research、CUBE365、theCUBE AI 及 theCUBE SuperStudios 的母公司，其旗艦據點位於矽谷及紐約證券交易所。SiliconANGLE Media 活躍於媒體、科技及 AI 的交匯處。

SiliconANGLE Media 由科技界先驅 John Furrier 和 Dave Vellante 創立，建立了一個充滿活力的生態系統，旗下擁有多個業界領先的數碼媒體品牌，觸及逾 1,500 萬名頂尖科技專業人士。我們全新自家的 theCUBE AI Video Cloud 正在受眾互動方面開創新局，並運用 theCUBEai.com 神經網絡，協助科技公司作出數據驅動的決策，並在業界討論中保持領先。