亚马逊公司10月22日披露，攻击者在两个被称作PHP2Shell的高危漏洞补丁发布前四天就已开始试探性利用；Cloudflare记录到的利用尝试在漏洞公开后数小时内从数千次升至数百万次。

PHP维护方本周三发布了针对CVE-2026-109618和CVE-2026-109619的修复，此前漏洞细节在协调披露之前泄露。这两个缺陷在PHP代码中已存在多年，直到今年8月由OpenAI资助的一次审计借助人工智能模型证明其可被实际利用。

亚马逊的MadPot蜜罐网络记录到的最早一次尝试发生在10月17日，当时漏洞仍处于保密期。该流量来自一个与商业匿名化网络相关的IP地址。亚马逊集成安全首席信息安全官CJ Moses在博客文章中写道，目前尚不清楚攻击者如何在披露前获得利用信息。在周三发布前的数小时内，蜜罐又收到更多探测，其载荷和匿名化基础设施差异较大，亚马逊怀疑涉及不止一个行为体。这些早期尝试在真实系统上是否有效仍然未知。

补丁发布数小时后出现了新的概念验证利用代码，并几乎立即被用于探测亚马逊的传感器。该公司现在称这些漏洞“正在野外被广泛利用”。亚马逊认为排查应至少回溯至10月17日，并称针对面向互联网的关键漏洞的7天和30天修复窗口预设了攻击者已不再给出的时间差，补丁时间应以小时计。

Cloudflare统计显示，披露前10小时内记录到“数千次尝试”，公告后45分钟内出现数万次，两小时内达到数十万次。该公司首席执行官Matthew Prince周三晚间在X上发文时，计数已超过百万。

目前尚无确认的入侵事件与这些流量关联。WordPress安全公司Defiant表示，其Wordfence防火墙已拦截超过7.4万次利用和探测尝试，在其保护的超过500万个WordPress站点中未发现一例确认失陷。实时事件与风险检测公司Dataminr将观察到的活动描述为“仅限于扫描、指纹识别和使用无效的利用代码”，但称有效攻击“只是时间问题”。

多地仍采取预防措施。包括美国国家安全局在内的多家网络安全机构周三建议，无法立即更新的系统应下线；路透报道，从东京到赫尔辛基，银行、铁路和政府服务被预防性关停。在日本，野村控股、三菱日联金融集团和东日本铁路公司今天暂停了部分互联网服务，国税厅临时关闭相关服务。韩国以黑客风险上升为由提高了私营部门网络安全警戒级别。芬兰国家IT服务商Valtori在夜间完成补丁后开始解除对政府网站服务的封锁，总干事Hannu Naumanen称恢复“可能需要数天甚至数周”，因为系统需要仔细测试。

微软首席执行官Satya Nadella今天在德国的一场活动上表示，他“很久没有见过这样的情况”，对IT和安全人员来说，这是“漫长的一天和漫长的一夜”。上述表态据路透社报道。

SecurityScorecard公共政策负责人、美国特勤局前助理局长Michael Centrella对SiliconANGLE表示，机构应按任务影响对暴露系统排序，包括公共安全、健康和支付。“看起来是数以百计的独立漏洞，实际可能只是少数几个共同故障点，足以造成连锁中断。”德国数字产业协会Bitkom安全负责人Felix Kuhlenkamp对路透社表示，许多小型运营者“用PHP跑一个网站，但并不真正关注它”，若站点停留在没有安全更新的旧版本上，“整个系统必须更新”。

Strike Graph创始人兼首席执行官Justin Beals对SiliconANGLE表示，停止支持的版本数量“应该让人警醒”。他引用漏洞情报公司VulnCheck的数据称，至少有100万台面向互联网的主机运行着不再获得更新的PHP版本。