周三发布的针对PHP两个关键漏洞的修复补丁，引发了管理员和安全人员争分夺秒地识别并修补受影响的网站和应用程序。与此同时，攻击者也迅速逆向分析补丁，试图利用这些漏洞进行攻击。部分政府和组织甚至提前关闭了关键网站，以防在补丁发布前成为攻击目标。

然而，亚马逊网络服务（AWS）周三晚间发布的研究显示，至少有一名攻击者早在10月17日，即公开披露前四天，就开始尝试利用被统称为PHP2Shell的漏洞。

AWS分析师在回顾其“蜜罐”——即故意设置的易受攻击的网络服务器或数字诱饵——的活动时，发现了10月17日的攻击尝试。该尝试来自一个AWS称为“商业匿名网络”的IP地址，实际上是代理网络或VPN。

AWS首席信息安全官CJ Moses在研究报告中写道：“在漏洞信息保密期间，来自匿名IP地址对蜜罐的攻击表明这是由威胁行为者发起的，尽管尚不清楚该行为者如何在漏洞公开前获得利用信息。”

PHP基金会执行董事Elizabeth Barron告诉WIRED，基金会在AWS研究发布前并不知情，且对该发现暂无即时评论。她补充道：“虽然我们同意升级补丁至关重要，但据我们所知，目前尚无远程代码执行的成功案例。”

PHP2Shell的概念验证利用代码于周三开始公开出现，其中部分甚至在美国东部时间上午10点公开披露前数小时就已出现。AWS研究人员表示，在披露前数小时，他们的蜜罐遭遇了多次利用尝试，这些尝试通过不同的匿名服务进行，且攻击目标多样，表明可能存在多个不同的攻击者。Moses写道：“技术分析仍在进行中，目前尚不清楚这些尝试中是否有可能在真实系统中成功。”他还补充说，“PHP2Shell漏洞目前已被广泛利用。”

尽管尚不清楚10月17日的攻击是如何发生及其来源，AWS强调，这一发现凸显了协调漏洞披露机制必须加速和进化的重要性，尤其是在全球范围内AI工具普及的背景下，这些工具能够加速漏洞分析，使技术水平较低的攻击者也能迅速开发出新的利用手段。

Moses写道：“从补丁发布到有效利用的时间因结构性原因而缩短。过去，我们观察到的大多数利用行为发生在公开发布概念验证代码之后。少数技术高超的攻击者构建利用代码，其他人则等待他们。但这种依赖正在减弱。AI辅助分析降低了将补丁差异或安全通告转化为有效利用代码的成本。因此，一旦漏洞技术细节被披露，更多攻击者可以在数小时甚至数分钟内行动。”

2026年10月22日美国东部时间上午10:10更新，加入了PHP基金会的评论。