قالت Amazon Threat Intelligence في مدونة نشرتها في 21 أكتوبر 2026 إنها رصدت في بيانات شبكة المصائد MadPot محاولة استغلال لثغرتي PHP2Shell في 17 أكتوبر، أي قبل أربعة أيام من الإفصاح العلني عن CVE-2026-109618 وCVE-2026-109619.
جاءت المحاولة من عنوان IP يرتبط بشبكة إخفاء هوية تجارية. وتقول Amazon إن العناوين المدرجة في تقريرها بنية مشتركة لا تخص هذا النشاط وحده، فتدعو إلى التحقيق في أي رصد يخصها بدلاً من حجبها مباشرة. وتذكر أنه غير واضح كيف حصل الفاعل على معلومات الاستغلال قبل الإفصاح، وغير واضح إن كانت أي من هذه المحاولات ستنجح على أنظمة حقيقية، وأن التحليل الفني مستمر.
بحسب Amazon، رصدت أولى المحاولات المبنية على أدلة إثبات المفهوم نحو 02:00 بتوقيت UTC من 21 أكتوبر، أي قبل موعد الإصدار. وتلتها محاولات حتى 08:00 من بنى إخفاء هوية أخرى، وتقول إن اختلاف الحمولات وطرق الإخفاء يوحي بتعدد الفاعلين. وبعد الإصدار ظهرت أدلة إثبات مفهوم إضافية خلال ساعات واستخدمت ضد مستشعراتها فور ظهورها تقريباً، وتقول Amazon إن PHP2Shell تستغل الآن على نطاق واسع.
وكانت PHP قد أصدرت الإصلاحات في 21 أكتوبر. وتعرض مدونة PHP Foundation تسلسلاً لما سبق الإصدار: بدأ تداول معرفي الثغرتين في 20 أكتوبر نحو 15:00 بتوقيت UTC بموعد وتقييم خاطئين، فنقل الإصدار من 22 أكتوبر إلى 21 أكتوبر الساعة 14:00. أي أن محاولة 17 أكتوبر سبقت بدء تداول المعرفين بثلاثة أيام.
وتقول المؤسسة إن Calif نشرت فيديو بالخطأ كشف تفاصيل محدودة وأسهم في تسريع تطوير أدلة إثبات المفهوم، وإن Chainguard نشرت في 21 أكتوبر نحو 07:41 صوراً تحمل الإصلاح قبل الإصدار بأكثر من ست ساعات، وتصف ذلك بأنه خرق للحظر المتفق عليه. وتضيف أن فريقها لم يحدد استغلالاً وظيفياً وقت الإصدار. وكانت Cloudflare قد قالت في 21 أكتوبر إنها ترى هجمات مبكرة على الثغرتين.
وتوصي Amazon بالترقية إلى الإصدارات المصلحة، وهي 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، بوصفها العلاج الكامل الوحيد للثغرتين، وتقول إنه لا حل بالإعدادات وحدها يعالجهما معاً. وإن تعذر الترقيع فوراً تقترح النظر في حجب رفع الملفات متعدد الأجزاء بعد تقدير أثره على التطبيقات، والبحث في طلبات POST لنماذج الرفع عن السلسلة PHP_SESSION_UPLOAD_PROGRESS، ومراجعة سجلات الخادم بحثاً عن تنفيذ عمليات أو تعديل ملفات غير متوقع.
وتدعو Amazon قادة الأمن إلى قياس مهل الترقيع والتخفيف للثغرات الحرجة المواجهة للإنترنت بالساعات لا بالأيام، وإلى بدء التحقيق من أقدم استغلال معروف، وهو 17 أكتوبر على الأقل. وتقول إن التحليل بمساعدة الذكاء الاصطناعي يجعل تحويل فرق الإصلاح أو النشرة الأمنية إلى استغلال عامل أرخص، وإن انتظار المهاجمين دليل إثبات مفهوم علنياً قبل الاستغلال يضعف.
