Amazon Threat Intelligence identificeert PHP2Shell-exploitatie vóór publieke bekendmaking in MadPot

Amazon Threat Intelligence heeft een poging tot exploitatie van PHP2Shell geïdentificeerd die dateert van 17 oktober 2026 in MadPot-telemetrie, vier dagen vóór de publieke bekendmaking van CVE-2026-109618 en CVE-2026-109619. De exploitatiepoging kwam van een IP-adres dat is gekoppeld aan een commercieel anonimiseringsnetwerk. Hoewel de kwetsbaarheid onder embargo stond, suggereert het targeten van een honeypot vanuit een geanonimiseerd IP-adres dat de activiteit is uitgevoerd door een threat actor. Het is echter onduidelijk hoe deze actor exploit-informatie heeft verkregen vóór de officiële bekendmaking.

De embargo-periode voor PHP zou worden opgeheven op 21 oktober 2026 om 14:00 UTC. Op de dag van de release identificeerde Amazon Threat Intelligence meerdere proof of concept (PoC) exploits voor de kwetsbaarheid, waarvan de vroegste rond 21 oktober 2026 om 02:00 UTC verscheen. Vervolgens identificeerde Amazon Threat Intelligence tussen 02:00 UTC en 08:00 UTC op 21 oktober aanvullende exploitatiepogingen van PHP2Shell gericht op MadPot vanuit andere geanonimiseerde infrastructuren. De daadwerkelijke payloads en de gekozen anonimiseringsinfrastructuren verschilden, wat suggereert dat er sprake was van meerdere actoren. De technische analyse is gaande en het is onduidelijk of enige van deze pogingen in echte systemen zouden zijn geslaagd.

Toen het embargo op 21 oktober 2026 om 14:00 UTC officieel werd opgeheven en de patch werd uitgebracht, verschenen binnen enkele uren extra PoC-exploits. Deze werden vrijwel onmiddellijk tegen onze sensoren gebruikt. PHP2Shell wordt nu op grote schaal in het wild geëxploiteerd.

Belangrijke lessen

Er zijn twee lessen uit deze gebeurtenis die breder toepasbaar zijn dan op deze specifieke kwetsbaarheid:

1. Een embargo beschermt verdedigers slechts tot het moment dat iemand anders dezelfde bug vindt. Gecoördineerde openbaarmaking blijft het juiste model, maar verdedigers moeten er niet vanuit gaan dat de datum van publieke bekendmaking de vroegste datum van exploitatie is. Bij PHP2Shell kan de compromittering voorafgaan aan de advisory.
2. De tijd tussen de patch en een werkende exploit wordt korter door structurele redenen. In het verleden kwam het grootste deel van de waargenomen exploitatie pas nadat er een publieke PoC was uitgebracht; een klein aantal bekwame actoren bouwde exploits en de rest wachtte daarop. Deze afhankelijkheid neemt af. AI-ondersteunde analyse maakt het goedkoper om een patch diff of advisory om te zetten in een werkende exploit. Als gevolg hiervan kunnen meer actoren binnen enkele uren of zelfs minuten actie ondernemen zodra de technische details van een kwetsbaarheid bekend zijn.

Advies voor security leaders

Voor security leaders verandert dit enkele uitgangspunten:

• Patch- en mitigatietermijnen: Meet deze in uren voor kritieke kwetsbaarheden in internetgeoriënteerde systemen. Een SLA van 7 of 30 dagen gaat uit van een vertraging die niet langer bestaat.
• Onderzoeken: Start onderzoeken vanaf de vroegst bekende exploitatie, niet vanaf de datum van bekendmaking. Voor PHP2Shell betekent dit dat er wordt gezocht vanaf ten minste 17 oktober.
• Detectie: Investeer in detecties die niet afhankelijk zijn van een signatuur voor een specifieke CVE. De eerste exploitatie vindt vaak plaats voordat dergelijke signaturen bestaan.

Hoe AWS klanten helpt beschermen

AWS implementeert meerdere beschermingslagen om klanten te beschermen. Ons interne threat intelligence-systeem detecteerde en beperkte automatisch kwaadaardige scanpogingen gericht op deze kwetsbaarheid. We analyseren meer dan 200 miljard gebeurtenissen per minuut en integreren threat intelligence uit ons MadPot honeypot-netwerk om bekende exploitatiepogingen in realtime te identificeren en te blokkeren. Ons honeypot-systeem biedt ons vroegtijdige detectie van exploitatiepogingen, wat een snelle respons en dreigingsanalyse mogelijk maakt.

Direct aanbevolen acties

• Upgrade onmiddellijk naar de gefixte PHP-versies. Upgraden is de enige volledige remediëring voor zowel CVE-2026-109618 als CVE-2026-109619. Er zijn geen configuratie-workarounds die beide problemen volledig oplossen.
• Overweeg het blokkeren van multi-part bestandsuploads in PHP-implementaties die niet onmiddellijk gepatcht kunnen worden, maar bepaal eerst hoe dit uw applicatie beïnvloedt.
• Zoek naar POST-verzoeken met de string PHPSESSIONUPLOAD_PROGRESS in formulier-uploads.
• Controleer webserverlogs op verdachte activiteiten.
• Controleer op onverwachte procesuitvoering of bestandsmodificaties op webapplicatieservers.

Indicators of Compromise (IOCs)

De geïdentificeerde IP-adressen maken deel uit van gedeelde anonimiseringsinfrastructuren en zijn niet exclusief voor deze dreigingsactiviteit. Organisaties dienen observaties met deze adressen te onderzoeken in plaats van ze simpelweg te blokkeren.

Voor meer informatie over het gebruik van AWS Web Application Firewall om uw blootstelling te verminderen tijdens het patchen, kunt u ons blogbericht raadplegen: Using AWS WAF to apply mitigations for PHP2Shell RCE vulnerabilities (CVE-2026-109618 and CVE-2026-109619).

***

Over de auteur: CJ Moses is de CISO van Amazon Integrated Security en leidt de security engineering en operations over Amazon. Hij is sinds december 2007 verbonden aan Amazon en bekleedde diverse rollen, waaronder Consumer CISO en AWS CISO. Voor zijn tijd bij Amazon leidde hij de technische analyse van computer- en netwerkintrusies bij de Cyber Division van de Federal Bureau of Investigation (FBI) en diende hij als Special Agent bij het Air Force Office of Special Investigations (AFOSI).