黑客在PHP漏洞修复前两天即展开利用
最新公布的细节显示，周三互联网上下紧急修补 PHP 的两个严重漏洞——PHP 是一种使用广泛的网页脚本语言——但这一行动已经来不及阻止所有攻击了。
周三 PHP 两个严重漏洞的修复补丁发布后，管理员和安全人员纷纷排查并修补存在漏洞的网站和应用，而攻击者也必然会对补丁进行逆向分析，找出利用漏洞的方法。一些政府和其他机构甚至提前主动下线了关键网站，以免在打好补丁之前成为攻击目标。
除了在周三检测到攻击正在进行之外，AWS 当晚发布的一份研究报告还指出，早在 10 月 17 日——即周三公开披露的四天前——就已至少有一个攻击者开始尝试利用这两个漏洞（统称为 PHP2Shell）。
AWS 分析师周三回看其“蜜罐”（即故意留有漏洞、供研究人员研究攻击手法和趋势的服务器或其他诱饵）上的活动记录时，发现了 10 月 17 日的攻击尝试。据 AWS 称，攻击来自一个关联“商业匿名网络”的 IP 地址，也就是代理网络或 VPN。
“漏洞还在保密期，蜜罐就收到了来自匿名 IP 地址的攻击，这说明攻击者是蓄意为之的威胁行为体，但目前尚不清楚对方是如何在漏洞披露前拿到利用信息的。”AWS 首席信息安全官 CJ Moses 在这份研究报告中写道。
PHP2Shell 的概念验证漏洞利用程序于周三开始公开出现，部分似乎甚至早于美东时间上午10点的公开披露几小时。AWS 研究人员称，在披露前的数小时内，他们的蜜罐系统遭到多次匿名化利用尝试，使用了多种代理服务商，且攻击目标各异，表明可能涉及多个不同行动者。“技术分析仍在进行中，目前尚不清楚这些尝试是否会在真实系统里成功，”摩西写道。他补充说“PHP2Shell 已在野外被广泛利用。”
PHP 基金会未立即回应 WIRED 的置评请求。
虽然10月17日的具体利用方式及来源仍不清楚，但 AWS 强调，这些发现凸显出，在全球可获取 AI 工具、能够 加速漏洞分析并让 技术能力较弱的行动者 快速开发新利用代码的背景下，协调式漏洞披露必须演进并提速。
“补丁到可用利用代码的间隔时间正在因结构性原因缩短，”摩西写道。“过去，我们观察到的大多数利用都发生在公开概念验证发布之后。少数有能力的行动者构建了利用代码，其他人则等待其出现。这种依赖关系正在减弱。AI 辅助分析降低了将补丁差异或公告转化为可用利用代码的成本。因此，一旦漏洞的技术细节被披露，更多行动者都能在数小时甚至数分钟内采取行动。”