黑客在修复发布前数日已尝试利用PHP漏洞
Hackers Exploited the PHP Vulnerabilities Days Before They Were Patched
AWS研究人员发现，至少一名攻击者于10月17日尝试利用后来统称为PHP2Shell的PHP漏洞，比漏洞公开披露早四天。AWS还称，蜜罐在公开披露前后遭遇多次利用尝试，PHP2Shell目前已在野外被广泛利用，但这些尝试能否攻击真实系统尚不清楚。AWS指出，AI辅助分析可能降低将补丁差异或安全公告转化为可用漏洞利用的成本，使更多攻击者能在技术细节披露后数小时甚至数分钟内采取行动。
AWS在蜜罐中发现披露前的PHP2Shell利用尝试，并记录了披露前后攻击活动，为理解漏洞披露窗口内的风险提供了具体案例。
周三，互联网掀起疯狂的抢修行动，试图修补广泛使用的网页脚本语言 PHP 中两个严重漏洞，但新近公布的细节显示，为时已晚，未能阻止所有攻击。
周三，PHP 的两个严重漏洞修复程序发布后，管理员和安全人员争分夺秒地识别并修补存在漏洞的网站和应用，而攻击者也必然会对修复程序进行逆向分析，以了解如何利用这些漏洞。一些政府和其他组织甚至在修复程序发布前就主动关闭了关键网站，以免在应用补丁之前遭到攻击。
不过，除了在周三发现此类正在进行的利用活动外，Amazon Web Services 于周三晚间发布的研究显示，至少有一名攻击者在 10 月 17 日就已开始尝试利用这些漏洞——这些漏洞统称为 PHP2Shell，比周三公开披露早了四天。
AWS 分析人员在周三回顾其所谓蜜罐上的活动时，发现了 10 月 17 日的漏洞利用尝试。蜜罐是故意设置为存在漏洞的 Web 服务器或其他数字诱饵，可帮助研究人员了解攻击方法和趋势。此次尝试来自一个 IP 地址，AWS 称其关联着一个“商业匿名化网络”，换言之，就是代理网络或VPN。
AWS 首席信息安全官 CJ Moses 在研究文章中写道：“在漏洞披露仍受保密约束期间，有人通过匿名 IP 地址对蜜罐发起攻击，这表明该活动是由威胁行为者实施的，但目前尚不清楚该行为者在漏洞披露前如何获得了利用信息。”
PHP2Shell 的概念验证漏洞利用程序于周三开始公开出现，其中一些似乎在美东时间上午 10 点公开披露前数小时就已出现。AWS 研究人员表示，在披露前的数小时里，他们的蜜罐遭到多次漏洞利用尝试，这些尝试使用了多家服务提供商进行匿名化，攻击目标似乎也各不相同，这很可能表明有多个不同的攻击者参与其中。Moses 写道：“技术分析仍在进行中，目前尚不清楚这些尝试是否能在真实系统中得手。”他还补充说：“PHP2Shell 目前正在野外遭到广泛利用。”
PHP Foundation 未立即回应 WIRED 的置评请求。
尽管尚不清楚 10 月 17 日的漏洞利用是如何发生的或来自何处，但 AWS 强调，这些发现凸显出，鉴于全球都能使用 AI 工具，这些工具可以加快漏洞分析，并让技术能力较弱的攻击者迅速开发新的漏洞利用程序，因此协调漏洞披露必须不断改进并加快速度。
Moses 写道：“从补丁发布到可用漏洞利用程序出现的时间，正因结构性原因而不断缩短。过去，我们观察到的大多数漏洞利用都发生在公开概念验证发布之后。少数能力出众的攻击者会编写漏洞利用程序，其他人则等待他们的成果。这种依赖正在减弱。借助 AI 的分析，可以更低成本地将补丁差异或安全公告转化为可用的漏洞利用程序。因此，一旦漏洞的技术细节披露，更多攻击者就能在数小时甚至数分钟内采取行动。”
来源：Wired · AI · wired.com