重點整理
- 【搶先】AWS 誘捕系統10月17日就記錄到攻擊嘗試，比公開早4天
- 【防護】AWS WAF 的 PHP 託管規則更新到2.3版並設為預設
- 【建議】調查從10月17日開始，修補時程以小時而非天計算
亞馬遜整合安全部門資安長 CJ Moses 在 AWS 安全部落格披露，亞馬遜威脅情報團隊的誘捕系統 MadPot，10月17日就記錄到一筆 PHP2Shell（CVE-2026-109618、CVE-2026-109619）攻擊嘗試，比漏洞公開早了4天，來源是商業匿名網路的 IP，攻擊者如何事先取得漏洞資訊仍不清楚。
AWS 指出，10月21日凌晨（UTC）最早的概念驗證攻擊程式出現，下午修補釋出後幾小時內又有更多攻擊程式流出，幾乎立刻被用來攻擊 AWS 的感測器；攻擊內容與基礎設施各不相同，顯示有多個攻擊者，但能否在真實系統上成功仍在分析中。AWS 並公開6個相關 IP，提醒這些屬於共用匿名網路，建議用來調查而非直接封鎖。
AWS 認為，AI 輔助分析讓攻擊者更容易把修補內容或公告轉成可用的攻擊程式，從修補到攻擊出現的時間正在縮短，因此建議企業針對對外系統的重大漏洞，以「小時」而非7天、30天的標準來衡量修補時程，並從已知最早的攻擊日期，也就是10月17日開始調查。
防護方面，AWS WAF 的 PHP 應用程式託管規則群組更新到2.3版，新增針對 CVE-2026-109619 的規則並設為預設，預設動作為封鎖；CVE-2026-109618 則建議搭配核心規則集中限制請求本文大小的規則。AWS 強調，WAF 在這次事件中只是多一層防護，不能取代升級 PHP，升級才是唯一完整的解法。
AWS 建議的立即行動
- 升級到已修補的 PHP 版本
- 暫時無法修補時，評估影響後考慮封鎖 multipart 檔案上傳
- 檢查表單上傳中是否有含 PHP_SESSION_UPLOAD_PROGRESS 字串的 POST 請求
- 檢查網頁伺服器日誌與異常活動
- 檢查網頁應用程式伺服器是否有非預期的程序執行或檔案變更
相關報導：PHP重大漏洞「PHP2Shell」風險升高 ALION推出緊急資安修補服務
資料來源
- AWS：Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot
- AWS：Using AWS WAF to apply mitigations for PHP2Shell
本文由阿利恩(Alion)資訊專家與《報新聞 MEGA NEWS》編輯部綜合各資安公司、雲端業者公告及國內外媒體報導整理，資訊更新至2026年10月23日。漏洞情勢變化快速，修補與設定請以 PHP 官方及各作業系統、主機商的最新公告為準。