Дослідники з команди Amazon Threat Intelligence виявили, що зловмисники розпочали сканування та спроби експлуатації критичних уразливостей PHP2Shell ще суботи, 17 жовтня — за чотири дні до того, як розробники PHP випустили офіційні оновлення безпеки у середу, 21 жовтня.