PHP2Shell: Amazon aveva rilevato un tentativo quattro giorni prima dell’annuncio

Nella vicenda PHP2Shell c’è una data precedente a quella delle patch: il 17 ottobre. Amazon Threat Intelligence riferisce di aver trovato nella telemetria di MadPot, la sua rete di sistemi-esca, un tentativo di sfruttamento quattro giorni prima della divulgazione pubblica delle vulnerabilità CVE-2026-109618 e CVE-2026-109619.

La richiesta proveniva da un indirizzo associato a una rete commerciale di anonimizzazione. Amazon ritiene che la tempistica e il bersaglio suggeriscano un’attività ostile, ma non sa come l’autore abbia ottenuto le informazioni durante l’embargo. La rilevazione non dimostra una compromissione dei sistemi produttivi Amazon, né permette di stabilire se quel tentativo avrebbe funzionato su un sistema reale.

L’embargo è terminato alle 14 UTC del 21 ottobre; Amazon aveva già individuato altri tentativi e prove di concetto nelle ore precedenti. Dopo il rilascio ha osservato ulteriore sfruttamento e riferisce che PHP2Shell viene ormai sfruttata diffusamente. Per questo Amazon indica il 17 ottobre, e non il giorno delle patch, come punto di partenza minimo per cercare tracce nei log.