保密協議期間的異常偵測與時間線

Amazon Threat Intelligence 指出，PHP2Shell 漏洞的保密協議原訂於 2026 年 10 月 21 日 14:00 UTC 解除。然而，早在該日期之前的 10 月 17 日，其 MadPot 蜜罐網路就記錄到來自商業匿名化網路 IP 的攻擊嘗試。

在保密協議期間，針對蜜罐的定向攻擊暗示這是由威脅行為者發起的活動，但目前仍不清楚該行為者如何在公開揭露前取得利用漏洞所需的資訊。

當保密協議於 10 月 21 日解除後，Amazon 識別出多個概念驗證（Proof of Concept）利用程式碼，最早的一筆出現在當日 02:00 UTC。隨後從 02:00 UTC 到 08:00 UTC 之間，又發現來自其他匿名化基礎設施的額外攻擊嘗試。

AI 加速漏洞利用開發與防禦假設的改變

Amazon 分析指出，過去多數觀察到的漏洞利用發生在公開的概念驗證發布之後，依賴少數具備能力的行為者建構利用程式碼。但現在這種依賴正在減弱，因為 AI 輔助分析使得將修補程式差異或公告轉化為可用利用程式碼的成本大幅降低。

這導致更多威脅行為者能在技術細節揭露後的數小時甚至數分鐘內採取行動。對於面向互聯網的關鍵系統，安全團隊應以「小時」為單位來衡量修補與緩解時間，而非傳統的 7 天或 30 天服務級別協議（SLA）。

調查工作應從最早已知的攻擊時間開始，而非僅從揭露日期開始。針對 PHP2Shell，建議至少從 10 月 17 日開始回溯調查。此外，防禦者應投資不依賴特定 CVE 特徵碼的偵測機制，因為首次攻擊往往發生在特徵碼建立之前。

社群回饋與實際利用難度的爭議

社群討論中出現對「攻擊嘗試」定義的質疑。有評論指出，機器人掃描器會產生大量異常流量，目前尚無明確證據顯示這些早期嘗試是成功的入侵，還是僅為掃描行為。

部分技術人員表示，雖然在伺服器日誌中看到探測跡象，但尚未見過實際運作的利用程式碼。GitHub 上有數百個由 AI 輔助編寫（vibe coded）的嘗試，但據稱大多無法在真實異質環境中運作，僅限於實驗室設定。

另有觀點提到，Cloudflare 執行長 Matthew Prince 曾發文稱在公告前看到數千次嘗試，公告後增至數萬次，現在則達到數百萬次。這引發了關於 Chainguard 是否因提前發布鏡像而導致資訊洩露的討論，但 Amazon 報告未證實此因果關係。

AWS 防護機制與建議行動

AWS 表示其內部威脅情報系統自動偵測並限制了針對此漏洞的惡意掃描嘗試，並透過分析每分鐘超過 2000 億個事件及整合 MadPot 蜜罐網路數據來即時識別和阻擋已知攻擊。

建議立即升級至已修復的 PHP 版本，這是解決 CVE-2026-109618 與 CVE-2026-109619 的唯一完整方法，目前沒有僅透過配置即可完全解決的變通方案。

若無法立即修補，可考慮阻擋 PHP 部署中的多部分檔案上傳功能，但需先評估對應用程式的影響。同時應檢查表單上傳中包含 PHP_SESSION_UPLOAD_PROGRESS 字串的 POST 請求，並審查 Web 伺服器日誌中的可疑活動及非預期的程序執行或檔案修改。

指標性入侵特徵（IOCs）與注意事項

Amazon 提供了幾個觀察到的 IP 位址作為指標，包括 103.216.220.92（10/17）、31.223.184.166、37.19.200.5、134.209.159.64、103.114.163.188 與 95.217.98.37（均為 10/21）。

這些 IP 位址包含共享的匿名化基礎設施，並非僅用於此威脅活動。組織應調查涉及這些位址的任何觀察結果，而非直接進行阻擋，以免誤傷正常流量或錯失其他線索。