据TechRadar报道，AWS称其威胁情报团队发现，针对PHP2Shell相关漏洞的利用尝试早在2026年10月17日就已出现，比CVE-2026-109618和CVE-2026-109619公开披露早四天；Cloudflare则称，漏洞披露后攻击尝试数量在数小时内从数千升至数百万。

AWS在安全公告中表示，该利用尝试来自与商业匿名化网络相关的IP地址。漏洞仍处于保密期时，匿名IP地址瞄准蜜罐，表明活动由威胁行为者实施，但目前不清楚其如何在披露前获得利用信息。AWS称，在补丁发布当天，亚马逊威胁情报发现多个概念验证（PoC）利用程序；由于载荷和匿名化基础设施选择不同，很可能由多个威胁行为者实施。公司正在分析这些载荷是否能在真实环境中成功利用。

PHP Foundation与多家合作伙伴为这两个严重漏洞准备修复。两个漏洞被命名为PHP2Shell，严重性评分为9.2/10，均可用于完全接管网站。由于PHP被用于编写现存网站中的大多数，漏洞需要协调披露和修补。补丁原定10月21日发布，知晓者被要求在发布前不披露细节。但在禁令解除前数小时，安全公司Chainguard据称发布了包含修复程序的容器镜像；大约同一时间，有消息称网络犯罪分子正积极利用PHP2Shell攻击网站。随后，全球多国政府、教育和医疗网站预防性关闭，PHP Foundation发布警报，要求管理员准备并在补丁可用后立即应用。

Pluto Security安全研究总监Yotam Perkal表示，PHP2Shell利用并不简单，可靠代码执行需要绕过ASLR；ASLR会在程序每次运行时随机改变代码和数据在内存中的位置，远程绕过难度较高，公开PoC中很多无法在真实系统上稳定工作。他称，不能指望这种情况持续，利用程序会改进，且多数PHP服务器仍未打补丁，团队应立即修补并重启PHP工作进程；但就目前而言，真实世界利用相对有限。

Cloudflare首席执行官Matthew Prince在X上发文称，团队在补丁公布前10小时看到数千次利用尝试，披露后一小时内增至数万次，两小时内增至数十万次，目前已经达到数百万次。Cloudflare还表示，不同威胁行为者正以不同方式利用这些漏洞，并根据被拦截请求的反馈修改载荷，以寻找绕过Web应用防火墙的方法。上述说法与Cloudflare的数据存在差异：Perkal强调成功利用有限，Cloudflare统计的是利用尝试数量。