亚马逊披露，攻击者早在补丁发布四天之前就开始针对PHP2Shell系列关键漏洞发起攻击；与此同时，Cloudflare监测到的利用尝试此后已攀升至数百万次。

PHP维护者周三发布了两个漏洞的修复补丁，编号分别为CVE-2026-109618和CVE-2026-109619。此前，漏洞细节在协调发布之前就已泄露。这两个缺陷在PHP代码中已潜伏多年，直到今年8月，一项由OpenAI资助的审计借助人工智能模型，证明它们可以被实际利用。

亚马逊的MadPot蜜罐网络记录到的最早一次尝试发生在10月17日，当时漏洞仍在保密期内。该流量来自一个与商业匿名化网络相关的IP地址。亚马逊集成安全首席信息安全官CJ Moses在博客文章中写道，目前尚不清楚攻击者是如何在披露之前获得利用信息的。

补丁未出，探测先到

在周三发布之前的数小时内，又有更多探测流量抵达蜜罐，其载荷和匿名化基础设施差异足够大，以至于亚马逊怀疑涉及不止一个攻击者。这些早期尝试若针对真实系统，是否真能奏效，目前仍不清楚。补丁发布后数小时内，新的概念验证利用代码就出现了，并几乎立即被投放到亚马逊的传感器上。该公司现在将这些漏洞描述为"已在野被广泛利用"。

亚马逊希望相关调查至少从10月17日就开始。该公司表示，针对互联网暴露的关键漏洞所设定的7天和30天修复窗口，假定了一种攻击者已不再给予的延迟，补丁时间表应当以小时计。

Cloudflare观察到的利用流量在漏洞公开披露后上升了数个数量级。该公司CEO马修·普林斯（Matthew Prince）周三晚间在X上写道，在披露前的10个小时里，网络记录到"数千次尝试"；公告发布后的45分钟内出现数万次，两小时内达到数十万次。到他发帖时，计数已突破百万。

公布后流量暴涨

不过，目前还没有任何流量被关联到已确认的入侵事件。WordPress安全公司Defiant表示，其Wordfence防火墙已拦截超过7.4万次利用与探测尝试。在它所保护的500多万个WordPress站点中，尚未发现一起确认的入侵。实时事件与风险检测公司Dataminr则将观察到的活动描述为"仅限于扫描、指纹识别以及使用无效利用代码"，并称真正可用的攻击"只是时间问题"。

即便如此，世界各地的组织仍在将服务下线。包括美国国家安全局在内的多家网络安全机构周三建议，无法立即完成更新的系统应当下线。据路透社报道，从东京到赫尔辛基，银行、铁路和政府服务都作为预防措施被下线。

在日本，券商野村控股、贷款机构三菱日联金融集团以及东日本铁路公司今天暂停了部分互联网服务，国税厅也暂时下线了相关服务。韩国以黑客攻击风险上升为由，提高了私营部门的网络安全警戒级别。

芬兰国有信息技术服务商Valtori在夜间完成打补丁后，已开始解除对政府网站服务的封锁。总干事汉努·瑙马宁（Hannu Naumanen）表示，恢复这些服务"可能需要数天甚至数周"，因为系统需要经过仔细测试。

微软CEO萨提亚·纳德拉（Satya Nadella）今天在德国的一场活动上表示，他"很久很久没有见过这样的事了"。他说，对IT和安全人员而言，这是"漫长的一天，也是漫长的一夜"。

SecurityScorecard公共政策负责人、美国特勤局前助理局长迈克尔·琴特雷拉（Michael Centrella）表示，各机构应按任务影响对暴露系统进行排序，包括公共安全、健康和支付。"看起来像是数百个彼此独立的漏洞，实际上可能只是少数几个共同故障点，却足以造成级联式中断，"他说。

打不完的补丁与过期的版本

还有一批长尾服务器可能永远得不到修复。德国数字行业协会Bitkom的安全负责人费利克斯·库伦坎普（Felix Kuhlenkamp）对路透社表示，许多小型运营者"用PHP跑着网站，但并不真正密切关注它"。如果某个站点停留在不再有安全更新的旧版本上，他说，"整个系统都必须更新"。

"光是生命周期终止（EOL）的统计数字就该让人停下来想一想，"Strike Graph创始人兼CEO贾斯汀·比尔斯（Justin Beals）表示。他引用漏洞情报公司VulnCheck的数据指出，至少有100万个互联网暴露主机运行在不再获得更新的PHP版本上。"任何已终止生命周期的东西，都应当列入风险登记册，写明负责人和退役日期。"

Black Hills Information Security老板约翰·斯特兰德（John Strand）指出，插件和其他依赖项可能把应用绑定在特定的PHP版本上，因此更新PHP本身就可能破坏企业所依赖的功能。"'直接打补丁'听起来很棒，直到更新把你的网站搞挂，"他说。"更快地发现漏洞，并不意味着组织能更快地修复它们。我们至今仍在为那些我们早已知道存在漏洞的系统打补丁而挣扎。作为一个行业，我们还没有准备好让这个缺口继续扩大。"