Már a javítások kiadása előtt kihasználták a PHP kritikus hibáit
A PHP programozási nyelv két kritikus sérülékenységét, a közösen PHP2Shell néven emlegetett hibákat már a javítások nyilvános kiadása előtt megpróbálták kihasználni. Az Amazon Web Services elemzői egy október 17-i támadási kísérletet azonosítottak, vagyis négy nappal azelőtt, hogy a hibákról és a hozzájuk tartozó javításokról nyilvánosan beszámoltak volna. A nyomokat egy úgynevezett honeypoton találták meg: ez szándékosan sérülékeny webkiszolgáló, amelyet a kutatók a támadási módszerek megfigyelésére működtetnek.
A korai próbálkozás egy olyan IP-címről érkezett, amelyet az AWS kereskedelmi anonimizáló hálózathoz, például proxy- vagy VPN-szolgáltatáshoz kötött. CJ Moses, az AWS információbiztonsági vezetője szerint ez arra utalhat, hogy fenyegetést jelentő szereplő állt a kísérlet mögött, de egyelőre nem tudni, hogyan jutott hozzá az illető a hibák kihasználásához még a nyilvános bejelentés előtt.
A javítások szerdai közzététele után a rendszergazdák világszerte igyekeztek beazonosítani és frissíteni az érintett weboldalakat és alkalmazásokat. Közben a támadók a javítások visszafejtésével próbálhatták megérteni a hibák működését. Az AWS több, különböző célúnak tűnő támadási kísérletet is észlelt, és közölte, hogy a PHP2Shell sérülékenységeket immár széles körben kihasználják az interneten, bár nem bizonyított, hogy a megfigyelt próbálkozások sikerrel jártak-e valódi rendszerek ellen. A nyilvános bizonyítékkódok a bejelentés napján kezdtek terjedni. Moses szerint a folyamatot felgyorsítja, hogy a mesterséges intelligencia olcsóbbá és könnyebbé teszi a javítások vagy biztonsági közlemények elemzését, így egyre több támadó készíthet működő exploitot órák, akár percek alatt.