Amazon Threat Intelligence нашла в телеметрии MadPot попытку эксплуатации PHP2Shell от 17 октября — за четыре дня до публичного раскрытия уязвимостей и выхода исправлений. MadPot — сеть серверов-приманок, на которых Amazon наблюдает действия атакующих. Отчёт опубликован 21 октября; речь идёт о двух ошибках PHP, исправление и механизм которых мы уже разбирали.

Утром 21 октября, между 02:00 и 08:00 UTC, Amazon зафиксировала дополнительные попытки. Эмбарго сняли только в 14:00 UTC. Отправляемые данные и используемая для сокрытия адресов инфраструктура различались — по оценке исследователей, это указывает на нескольких участников. Как они получили сведения до раскрытия, неизвестно: сам факт ранней атаки не доказывает утечку из команды разработчиков.

AWS отдельно оговаривает: пока неясно, сработали бы эти ранние попытки на реальных системах. После публикации патчей новые демонстрационные эксплойты появились в течение часов и почти сразу пошли в ход против датчиков Amazon. Компания сообщает о широкой эксплуатации, но число взломанных сайтов и объём украденных данных не называет.

Cloudflare также наблюдала, как атакующие меняли запросы, пытаясь обойти её защиту. Компания подчёркивает, что фильтрация трафика не заменяет обновления PHP. А для расследования уже произошедшего AWS предлагает начинать проверку как минимум с 17 октября: дата публичного предупреждения оказалась слишком поздней точкой отсчёта.