Hackers Exploited the PHP Vulnerabilities Days Before They Were Patched
TL;DR · AI 摘要
PHP漏洞被黑客在官方补丁发布前四天利用，AWS研究揭示漏洞披露流程需加速以应对AI工具缩短的攻击窗口。
核心要点
- AWS检测到黑客于10月17日（漏洞公开前4天）已尝试攻击PHP2Shell漏洞。
- PHP2Shell漏洞被证实已在全球范围内被广泛利用。
- AI工具使漏洞分析和攻击开发时间缩短，需优化漏洞披露流程。
结构提纲
按章节快速跳转。
思维导图
用一张图看清主题之间的关系。
查看大纲文本（无障碍 / 无 JS 友好）
- PHP漏洞被提前利用
- 事件时间线
- 10月17日首次攻击
- 10月21日漏洞公开
- AWS研究发现
- honeypot检测到匿名IP攻击
- 多攻击者使用不同VPN
- 防御挑战
- AI加速漏洞分析
- 需优化披露流程
金句 / Highlights
值得收藏与分享的关键句。
AWS通过honeypot发现黑客在漏洞公开前4天已发起攻击。
PHP2Shell漏洞被证实已在全球范围内被广泛利用。
AI工具使漏洞到攻击的时间间隔显著缩短。
黑客在PHP漏洞修复前数天便已利用 | WIRED
Lily Hay Newman
安全
2026年10月21日 22:24
黑客在PHP漏洞修复前数天便已利用
亚马逊云服务（AWS）在四天前记录到试图利用互联网级PHP2Shell漏洞的攻击行为。目前这些漏洞已在互联网上被“广泛利用”。
照片插图：Jobanny Cabrera；Getty Images
保存此故事
周三互联网对PHP这一广泛使用的网络脚本语言中两个关键漏洞的紧急修补行动，根据最新披露的信息显示，已为时过晚，无法阻止所有攻击。
PHP两个关键漏洞修复方案的周三发布，促使管理员和安全人员争相识别并修补存在漏洞的网站和应用程序，而攻击者则不可避免地逆向工程这些修复方案以学习如何利用这些漏洞。一些政府和其他组织甚至提前将关键网站下线，以避免在补丁应用前成为目标。
但除了周三发现的主动利用行为外，AWS周三晚间发布的研究还表明，至少有一个攻击者早在10月17日（即周三公开披露前四天）就已开始尝试利用这些被统称为PHP2Shell的漏洞。
AWS分析师在周三回顾其所谓的“蜜罐”（即故意设置的易受攻击的网络服务器或其他数字诱饵，帮助研究人员研究攻击方法和趋势）活动时，发现了10月17日的利用尝试。该攻击来自AWS称与“商业匿名网络”（即代理网络或VPN）相关的IP地址。
AWS首席信息安全官CJ Moses在研究文章中写道：“尽管该漏洞处于保密期，但匿名IP地址对蜜罐的攻击表明活动可能由威胁行为者发起，但尚不清楚该行为者在披露前如何获取利用信息。”
PHP2Shell的概念验证型攻击代码在周三开始公开出现，一些代码甚至在美东时间上午10点的公开披露前数小时就已出现。在披露前的数小时内，AWS研究人员表示，他们的蜜罐遭受了来自多个供应商的匿名化攻击尝试，且似乎有多种攻击目标，很可能表明有多个不同行为者参与。“技术分析仍在进行中，尚不清楚这些尝试是否能在实际系统中成功，”Moses写道。他补充说：“PHP2Shell现在已在野外被广泛利用。”
PHP基金会尚未立即回应WIRED的置评请求。
尽管目前尚不清楚10月17日的利用行为是如何发生或来自何处，但AWS强调，这些发现凸显了在人工智能工具全球普及的背景下，协调漏洞披露机制必须加快演进，以应对这些工具加速漏洞分析并使技术能力较弱的行为者快速开发新利用手段的趋势。
“由于结构性原因，从补丁发布到出现可运行利用程序的时间正在缩短，”Moses写道。“过去我们观察到的大多数利用行为都发生在公开概念验证代码发布之后。只有少数有能力的攻击者会构建利用代码，其他人则等待他们完成。这种依赖关系正在减弱。AI辅助分析使得将补丁差异或安全公告转化为可运行利用程序的成本大幅降低。因此，一旦漏洞的技术细节被披露，更多攻击者可以在数小时内甚至数分钟内采取行动。”