AWS 蜜罐回看：PHP2Shell 在公开前 4 天就已被利用
10 月 21 日 AWS 安全博客（作者 CJ Moses）披露：Amazon Threat Intelligence 在自家 MadPot 蜜罐网络里，识别到一次可追溯到 2026 年 10 月 17 日的 PHP2Shell 利用尝试——比 CVE-2026-109618 与 CVE-2026-109619 的公开披露早 4 天，来源 IP 属商业匿名化网络。漏洞当时仍在禁运期内（禁运定于 10 月 21 日 14:00 UTC 解除），AWS 明确说尚不清楚该行为体如何在披露前拿到利用信息。
解禁当天 02:00 UTC 起，AWS 就观测到多个 PHP2Shell 概念验证利用；02:00 至 08:00 之间，来自不同匿名基础设施的尝试增加，载荷与匿名化手法各不相同，判断是多个行为体，但无法确认这些尝试在真实系统上是否会成功。禁运解除、补丁发布之后数小时内又出现新的 PoC，并「几乎立刻」被用于攻击其传感器；AWS 的结论是 PHP2Shell 已在野被广泛利用。
它给的两条判断比事件本身更值得记：其一，禁运只保护到「别人也找到同一个洞」为止，协调披露仍是对的，但防守方不能假设公开日就是最早被利用日——本次调查起点应回到 10 月 17 日。其二，AI 辅助分析让「从补丁差异或公告到可用利用」更便宜，暴露到利用的窗口在结构性缩短，因此面向互联网的关键漏洞，修补与缓解时间表该按小时计，而不是 7 天或 30 天的 SLA。
原文链接：AWS 安全博客
核验记录
日期两处直读同一页：article:published_time 2026-10-21T15:36:26-07:00（= 北京时间 10-22 06:36），页内署名日期 21 OCT 2026，取官方展示日 10-21。CVE 编号、10 月 17 日这一时间点、02:00 UTC 解禁前后序列均逐字取自官方正文。og:image 是站点通用锁形题图（cloudfront Lock-image-2.jpeg），不是本案实拍，按 R4 留空走品牌占位。本站 10 月 21 日已收 OpenAI 侧的同一次披露（Patch the Planet），本条是防守方视角的独立一手材料，不是同一稿的复述。