Amazon Threat Intelligence a identificat o tentativă de exploatare a vulnerabilităților PHP2Shell încă din 17 octombrie, cu patru zile înainte ca informațiile să fie făcute publice, potrivit unui raport publicat de companie.
Descoperirea sugerează că atacatorii au obținut detalii despre cele două probleme înainte de ridicarea embargoului.
Conform raportului Amazon, tentativa inițială de exploatare a provenit de la o adresă IP asociată unei rețele comerciale de anonimizare și a fost detectată prin rețeaua de honeypot-uri MadPot – sisteme capcană utilizate pentru a atrage și monitoriza activitatea atacatorilor.
Compania precizează că modul în care atacatorul a obținut informații despre vulnerabilitate în perioada de embargo rămâne neclar. Vulnerabilitățile, identificate ca CVE-2026-109618 și CVE-2026-109619, urmau să fie dezvăluite public pe 21 octombrie, ora 14:00 UTC.
Amazon a raportat că primele dovezi de exploit proof-of-concept (PoC) apăruseră în jurul orei 02:00 UTC în ziua respectivă, cu aproximativ 12 ore înainte de ridicarea oficială a embargoului.
Între orele 02:00 și 08:00 UTC, rețeaua MadPot a înregistrat tentative de exploatare suplimentare provenind din infrastructuri anonimizate diferite, cu payloads utile și metode variate, un indiciu că mai mulți actori acționau independent.
Analiza tehnică este în curs, iar compania precizează că nu este clar dacă aceste tentative ar fi reușit pe sisteme reale. Odată ridicat embargoul și lansat patch-ul, noi exploit-uri au apărut în câteva ore, iar PHP2Shell înregistrează în prezent tentative de exploatare pe scară largă.
Amazon trage două concluzii mai largi din acest incident. În primul rând, embargoul de divulgare coordonată protejează apărătorii doar până când altcineva identifică independent aceeași vulnerabilitate; prin urmare, organizațiile nu ar trebui să presupună că data divulgării publice coincide cu primul moment de exploatare.
În al doilea rând, intervalul dintre lansarea unui patch și apariția unui exploit funcțional se scurtează, parțial din cauza utilizării analizei asistate de inteligență artificială, care face mai accesibilă transformarea unui patch sau a unui aviz de securitate într-un exploit operațional.
Amazon recomandă ca vulnerabilitățile critice din sistemele expuse pe internet să fie remediate în ore, nu în zile sau săptămâni. Compania sfătuiește organizațiile să înceapă investigațiile de la cel mai vechi moment cunoscut de exploatare, în cazul PHP2Shell, cel puțin din 17 octombrie, și să investească în metode de detecție care nu se bazează exclusiv pe semnături asociate unui CVE specific.
Singura remediere completă pentru ambele vulnerabilități este actualizarea la versiunile PHP corectate, precizează Amazon, care adaugă că nu există soluții de configurare care să rezolve integral ambele probleme.
