据The Verge报道，亚马逊威胁情报在一份报告中说，黑客在PHP两个严重安全漏洞的补丁发布前数日，已尝试利用这些漏洞。PHP基金会表示，漏洞细节在补丁可发布前遭到泄露；该基金会执行主任伊丽莎白·巴伦对The Verge称，据其所知“没有成功的远程代码执行尝试”，但强调更新受影响系统“势在必行”。

这两个漏洞编号为CVE-2026-109618和CVE-2026-109619，可让黑客在易受攻击的设备上远程执行恶意代码。PHP是一种被互联网很大一部分站点使用的编程语言，包括WordPress网站。本周三，网站纷纷着手应用补丁。亚马逊首席信息安全官CJ Moses写道，公司安全团队10月17日通过一个旨在诱捕黑客的监控系统发现了一次“PHP2Shell”利用尝试。Moses称，在漏洞仍处于禁发期时，一个匿名IP地址针对蜜罐发起攻击，表明活动由威胁行为者实施，但目前仍不清楚该行为者如何在信息披露前获得利用信息。亚马逊威胁情报还在10月21日、即补丁发布前数小时发现另外数次利用尝试。

PHP基金会称，该漏洞最初于2024年被理论推测出，其安全团队提出了潜在解决方案，但修复因“向后兼容性破坏、新的拒绝服务可能性，或需要改动许多第三方扩展且似乎无法协调”而延迟。在该基金会准备本周发布修复时，有关漏洞的细节开始从论坛和社交媒体流出，一些安全公司在官方发布前就公布了相关信息。

巴伦对The Verge表示，据其所知没有成功的远程代码执行尝试，但更新受影响系统“势在必行”。PHP基金会在声明中说：“我们相信，一个存在严重漏洞、修复方案又卡在艰难取舍上的问题，现在会更早到达PHP基金会领导层，因为我们正在调整流程，让领导层能够帮助引导局势及时解决。”该基金会还表示，正优先采取措施，确保未来报告的、需要类似复杂修复的漏洞能更快得到解决。