黑客在PHP漏洞修补前数日便已利用

本周三，广泛使用的Web脚本语言PHP曝出两个高危漏洞，全球管理员和安全团队随即展开紧急修补。但最新披露的细节显示，这场与攻击者的赛跑，其实早在补丁发布之前就已经落后了。 亚马逊云服务（AWS）周三晚间发布的研究显示，至少有一个攻击者在10月17日——也就是漏洞公开披露的四天前——就已经开始尝试利用这两个被统称为“PHP2Shell”的漏洞。AWS分析师是在周三回溯其“蜜罐”（honeypot，即故意设置漏洞、用于诱捕和研究攻击手法的服务器）活动记录时，才发现这次早期攻击的。该尝试来自一个AWS认定为“商业匿名化网络”（即代理网络或VPN）的IP地址。AWS首席信息安全官CJ Moses在研究报告中写道，漏洞尚处于保密期时，蜜罐就遭到匿名IP的针对性攻击，说明这很可能是有组织的威胁行为者所为，但目前仍不清楚其如何在公开披露前获得漏洞利用信息。 这一发现的意义不止于一次“抢跑”。周三补丁发布后，概念验证（PoC）攻击代码几乎同步涌现，部分甚至在美东时间上午10点正式披露前数小时就已出现。AWS称，在披露前的数小时内，其蜜罐遭到来自多个匿名服务商、攻击目标各异的多次利用尝试，暗示背后有多个不同行为者。“从补丁到可用利用代码的时间正在因结构性原因不断缩短，”Moses写道。过去大多数攻击发生在公开PoC发布之后，少数有能力的攻击者开发出利用代码，其他人坐等现成工具；如今这种依赖关系正在瓦解——AI辅助分析让攻击者把补丁差异或安全公告转化为可用攻击代码的成本大幅降低，更多行为者能在技术细节公开后的数小时甚至数分钟内采取行动。 对跨境电商卖家和出海创业者而言，这一趋势的现实风险在于：PHP是大量独立站、建站工具和后台系统的基础组件，漏洞公开到被大规模利用的窗口期正在急剧收窄。AWS已确认“PHP2Shell”目前正在野广泛利用。这意味着依赖PHP技术栈的卖家不能再按“等官方补丁、过几天再升级”的旧节奏行事，而需要把高危漏洞的应急响应压缩到小时级，并密切关注所用建站平台和插件是否已跟进修复。