AWS称PHP2Shell攻击早于公开补丁

负责修补两项关键PHP漏洞的管理员面临一个令人不安的细节：利用尝试似乎在漏洞公开披露之前就已开始。

亚马逊云科技表示，其在审查一台故意存在漏洞的互联网系统记录的活动时，发现一项可追溯至10月17日的攻击尝试。漏洞统称为PHP2Shell，公开修复于10月21日发布。AWS称，这一时间差表明至少有一个攻击者可能在公开发布前就获得了漏洞利用信息。

披露前的活动

蜜罐是被配置为看似存在漏洞的系统，用于让防御人员观察攻击技术和威胁活动。AWS称，10月17日的尝试来自与商业匿名网络相关的IP地址，例如代理或VPN服务。

AWS表示，匿名来源地址显示出威胁行为特征，但无法确定攻击者如何在披露前获得漏洞信息。

利用范围正在扩大

补丁发布后，公开的概念验证漏洞利用开始出现。AWS称，一些利用代码甚至在预定的美国东部时间上午10点公开披露前数小时出现。

AWS认为PHP2Shell目前已在野外被广泛利用，但其技术分析仍在进行。

这一发现说明了什么

现有证据无法确定10月17日活动的幕后人员、利用是否成功，或漏洞信息的来源，但可以确认AWS在漏洞公开前记录到了一次针对蜜罐的尝试。

对安全团队而言，实际影响是立即识别受影响的PHP部署、应用补丁并调查利用迹象。组织应将这些漏洞视为正在发生的事件管理问题。

补丁紧迫性的教训

公开披露并不是风险开始的时刻，而往往是风险对更多防御者和攻击者变得可见的时刻。PHP2Shell事件进一步表明，利用尝试可能早于这一时刻。

AWS的证据并非事件完整记录，但足以促使受影响组织迅速行动。AWS称利用已经广泛发生，因此修补和调查是当前优先事项。

本文基于Wired的报道。阅读原文。