要闻可动手重点 10月23日周五 #safety #infra

AWS：PHP2Shell 漏洞在公开前 4 天已被利用

跟进昨日报道的 PHP 严重漏洞：AWS 10 月 21 日披露，其 MadPot 蜜罐在 10 月 17 日就观察到针对 PHP2Shell 的利用尝试，比公开披露早 4 天；10 月 21 日 UTC 02:00 起，在禁令期内已出现多个 PoC 和来自多个匿名网络的攻击。补丁于当天 14:00 发布，修复 CVE-2026-109618 和 CVE-2026-109619。

要点

AWS 称攻击者如何在禁令期内拿到漏洞信息目前仍不清楚；公开后数小时内又出现更多 PoC，并几乎立即被用于攻击其传感器
升级到修复版本是同时解决两个 CVE 的唯一完整办法，没有仅靠配置就能完全规避的方案
暂时无法升级时可考虑阻止 multipart 文件上传（先测试影响），并在表单上传请求中搜索 PHP_SESSION_UPLOAD_PROGRESS 字符串
AWS 建议调查应从最早已知活动（10 月 17 日）开始，并把面向公网的严重漏洞修复时限按小时计算

为什么值得关注

说明「由 AI 发现、协调披露」并不保证防守方先手，运行 PHP 的团队不能以公告日期作为排查起点。

来源

原文 Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot AWS Security Blog · aws.amazon.com · 2026-10-21

### [AWS：PHP2Shell 漏洞在公开前 4 天已被利用]({{URL}})

跟进昨日报道的 PHP 严重漏洞：AWS 10 月 21 日披露，其 MadPot 蜜罐在 10 月 17 日就观察到针对 PHP2Shell 的利用尝试，比公开披露早 4 天；10 月 21 日 UTC 02:00 起，在禁令期内已出现多个 PoC 和来自多个匿名网络的攻击。补丁于当天 14:00 发布，修复 CVE-2026-109618 和 CVE-2026-109619。

- AWS 称攻击者如何在禁令期内拿到漏洞信息目前仍不清楚；公开后数小时内又出现更多 PoC，并几乎立即被用于攻击其传感器
- 升级到修复版本是同时解决两个 CVE 的唯一完整办法，没有仅靠配置就能完全规避的方案
- 暂时无法升级时可考虑阻止 multipart 文件上传（先测试影响），并在表单上传请求中搜索 PHP_SESSION_UPLOAD_PROGRESS 字符串
- AWS 建议调查应从最早已知活动（10 月 17 日）开始，并把面向公网的严重漏洞修复时限按小时计算

**为什么值得关注**：说明「由 AI 发现、协调披露」并不保证防守方先手，运行 PHP 的团队不能以公告日期作为排查起点。

来源：[Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/)