De eerste aanvallen die gebruikmaakten van PHP2Shell vonden al op 17 oktober plaats, vier dagen voordat het bestaan van PHP-lekken CVE-2026-109618 en CVE-2026-109619 door de PHP Foundation openbaar werd gemaakt. Dat meldt Amazon op basis van eigen gegevens. Volgens het techbedrijf waren de aanvalspogingen afkomstig van een ip-adres van een 'commercieel anonimiseringsnetwerk'.

"Hoewel de kwetsbaarheid onder embargo was, suggereert het aanvallen van een honeypot vanaf een geanonimiseerd ip-adres dat de activiteit door een threat actor is uitgevoerd, maar het blijft onduidelijk hoe de aanvaller de exploit-informatie voor de aankondiging in handen heeft gekregen", aldus Amazon. Het bestaan van de PHP2Shell-lekken, waardoor ongeauthenticeerde aanvallers code op kwetsbare systemen kunnen uitvoeren, was bij allerlei partijen bekend. Die konden zo updates voor hun producten ontwikkelen waarin PHP wordt gebruikt, maar mochten niets over de kwetsbaarheden bekendmaken.

Oorspronkelijk zouden de PHP-updates op donderdag 22 oktober moeten verschijnen. Dinsdagavond publiceerde iemand informatie over CVE-2026-109618 en CVE-2026-109619 op Hacker News. Vervolgens liet de PHP Foundation weten dat de patches op woensdag 21 oktober om 16.00 uur zouden verschijnen. Gisteren zag Amazon naar eigen zeggen uren voor het verschijnen van de PHP-patches ook al allerlei aanvalspogingen. Volgens het techbedrijf vindt inmiddels grootschalig misbruik van PHP2Shell plaats. Amazon adviseert om PHP-systemen op eventueel misbruik te controleren, teruggaand tot 17 oktober.