Amazon Threat Intelligence upptäckte försök att utnyttja PHP2Shell den 17 oktober, fyra dagar innan utvecklarna släppte säkerhetsuppdateringar. Forskarna har dock inte kunnat fastställa om dessa tidiga försök faktiskt kunde kompromettera verkliga system.
De två kritiska sårbarheterna, CVE-2026-109618 och CVE-2026-109619, kan möjliggöra fjärrkörning av kod på sårbara PHP-installationer. PHP:s säkerhetsteam släppte korrigeringar den 21 oktober efter att ha uppmanat administratörer att förbereda sig för brådskande uppdateringar.
Amazon upptäckte attacker före det offentliga avslöjandet
Amazon registrerade de tidigaste attackförsöken genom sin honeypot-infrastruktur MadPot medan informationen om sårbarheterna fortfarande omfattades av ett publiceringsembargo.
Enligt företaget kom aktiviteten från en IP-adress kopplad till ett kommersiellt anonymiseringsnätverk. Den kombinationen tydde på att en hotaktör låg bakom, även om utredarna inte vet hur aktören fick tillgång till information om sårbarheterna.
Därefter observerade Amazon hur angripare använde flera proof-of-concept-exploateringar från VPN-adresser inom några timmar efter offentliggörandet. Skillnader i attackkod och anonymiseringstjänster tydde på att flera aktörer var inblandade.
Amazon betonade dock att den tekniska analysen fortfarande pågick. Företaget kunde inte bekräfta om dessa försök skulle ha fungerat mot verkliga system.
Forskare gör olika bedömningar av bevisen för lyckade attacker
Amazon beskrev sårbarheterna som föremål för omfattande exploatering i verkliga miljöer. Företagets resultat lämnar dock osäkerhet kring hur många attacker, om några, som faktiskt lyckades kompromettera servrar.
Samtidigt presenterade Dataminrs team för hotforskning och cybersäkerhetsteknik en mer försiktig bedömning den 22 oktober. Forskarna rapporterade skanning, identifiering av system och exploateringsförsök som inte fungerade, utan några kända komprometteringar.
Flera andra säkerhetsföretag upptäckte också misslyckade försök före det offentliga avslöjandet.
Dessa resultat skiljer mellan attackförsök och bekräftade intrång. Även om försöken att utnyttja PHP2Shell började innan säkerhetsuppdateringarna släpptes, visar de tillgängliga rapporterna inte att några tidiga komprometteringar lyckades.
Läckta uppgifter störde tidsplanen för säkerhetsuppdateringarna
PHP:s säkerhetsteam uppgav att läckt information tvingade dem att påskynda den samordnade publiceringsprocessen.
Detaljer dök upp på nätet två dagar före offentliggörandet, inklusive båda CVE-identifierarna och rekommendationer om riskbegränsande åtgärder som hade delats med vissa leverantörer av kritisk infrastruktur. Därför började teamet justera sin tidsplan för publiceringen den 20 oktober.
Proof-of-concept-kod dök också upp innan säkerhetsuppdateringarna släpptes. PHP-teamet uppgav dock att inget av dessa offentligt tillgängliga exempel fungerade.
Läckan försvårade hanteringen genom att avslöja information medan administratörerna fortfarande väntade på officiella korrigeringar.
Administratörer uppmanas att installera officiella PHP-uppdateringar
PHP:s kärnutvecklare Gina Peter Banyard varnade för att officiella säkerhetsuppdateringar är det enda permanenta skyddet mot sårbarheterna.
Även Storbritanniens nationella cybersäkerhetscenter, National Cyber Security Centre, uppmanade organisationer att omedelbart uppdatera berörda PHP-servrar. Organisationer som inte kan installera uppdateringarna bör ta servrarna offline tills de kan säkra dem.
Amazon varnade också säkerhetsansvariga för att betrakta datumet för offentliggörandet som det tidigast möjliga datumet för attacker. Därför bör utredningar även omfatta misstänkt aktivitet innan sårbarheterna blev offentliga.
Miljontals exponerade värdar visar den potentiella omfattningen
PHP används på en betydande del av webben, inklusive webbplatser som använder WordPress, Drupal och Joomla.
VirusTotal övervakar fler än 5,1 miljoner internetexponerade PHP-värdar. Av dessa har omkring 3,8 miljoner minst en port öppen för potentiella attacker.
Exponering i sig bevisar dock varken att ett system är sårbart eller att det har komprometterats. Siffrorna illustrerar den potentiella omfattningen av säkerhetsarbetet, snarare än antalet system som angripare faktiskt har lyckats göra intrång i.
0 svar till ”Enligt Amazon började försök att utnyttja PHP2Shell fyra dagar innan säkerhetsuppdateringarna släpptes”