آمازون بهره برداری PHP2Shell 17 اکتبر را قبل از افشای عمومی شناسایی می کند

آمازون Threat Intelligence یک تلاش برای بهره برداری از PHP2Shell به تاریخ 17 اکتبر 2026 در تله متری MadPot، چهار روز قبل از افشای عمومی CVE-2026-109618 و CVE-2026-109619 شناسایی کرد. تلاش برای سوء استفاده از یک آدرس IP مرتبط با یک شبکه ناشناس تجاری سرچشمه گرفته است. در حالی که این آسیب‌پذیری تحت تحریم بود، هدف‌گیری یک هانی‌پات از یک آدرس IP ناشناس نشان می‌دهد که این فعالیت توسط یک عامل تهدید انجام شده است، اگرچه هنوز مشخص نیست که این بازیگر چگونه اطلاعات سوءاستفاده را قبل از افشا به دست آورده است.

قرار بود پنجره تحریم PHP در 2026-10-21 1400 UTC لغو شود. در روز انتشار، آمازون Threat Intelligence چندین اثبات از سوءاستفاده‌های مفهومی برای این آسیب‌پذیری شناسایی کرد که اولین آن‌ها در حدود 0200-10-2026 UTC بود. متعاقبا، از 2026-10-21 0200 UTC تا 2026-10-21 0800 UTC، آمازون Threat Intelligence تلاش های بهره برداری بیشتری از PHP2Shell را شناسایی کرد که MadPot را از زیرساخت های ناشناس اضافی مورد هدف قرار می دهد. بارهای واقعی و انتخاب‌ها در زیرساخت‌های ناشناس‌سازی متفاوت بودند، که نشان می‌دهد اینها چندین بازیگر هستند.

تجزیه و تحلیل فنی در حال انجام است، و مشخص نیست که آیا هر یک از این تلاش ها در سیستم های دنیای واقعی موفق بوده است یا خیر.

انتشار واقعی پنجره تحریم 2026-10-21 1400 UTC بود. هنگامی که تحریم برداشته شد و وصله منتشر شد، سوء استفاده های اثبات مفهوم اضافی در عرض چند ساعت ظاهر شد و ما تقریبا بلافاصله دیدیم که از آنها علیه حسگرهای ما استفاده می شود. PHP2Shell اکنون شاهد تلاش‌های گسترده برای بهره‌برداری در طبیعت است.

دو درس از این رویداد فراتر از این آسیب‌پذیری به کار می‌رود:

برای رهبران امنیتی، این چندین فرض کاری را تغییر می دهد:

AWS چندین لایه حفاظتی را برای کمک به محافظت از مشتریان به کار می گیرد. سیستم اطلاعاتی تهدیدات داخلی ما به طور خودکار تلاش‌های اسکن مخرب را برای هدف قرار دادن این آسیب‌پذیری شناسایی و محدود کرد. ما بیش از 200 میلیارد رویداد در دقیقه را تجزیه و تحلیل می کنیم و اطلاعات تهدید را از شبکه هانی پات MadPot خود ادغام می کنیم تا تلاش های بهره برداری شناخته شده را در زمان واقعی شناسایی و مسدود کنیم. سیستم Honeypot ما تشخیص زودهنگام تلاش‌های بهره‌برداری را در اختیار ما قرار می‌دهد و واکنش سریع و تجزیه و تحلیل تهدید را ممکن می‌سازد.

آدرس‌های IP شناسایی‌شده شامل زیرساخت‌های ناشناس‌سازی مشترک هستند و منحصر به این فعالیت تهدید نیستند. سازمان‌ها باید هرگونه مشاهداتی را که شامل این آدرس‌ها می‌شود، به جای مسدود کردن، بررسی کنند.

نحوه استفاده از فایروال برنامه وب AWS برای کمک به کاهش قرار گرفتن در معرض هنگام وصله در پست وبلاگ ما با استفاده از AWS WAF برای اعمال کاهش آسیب‌پذیری‌های PHP2Shell RCE (CVE-2026-109618 و CVE-2026-109619) را ببینید.

اگر سؤالی دارید، یک موضوع جدید در AWS re:Post شروع کنید یا با پشتیبانی AWS تماس بگیرید.