Die Untersuchung von OffSeq dokumentiert die PHP2Shell-Aktivität während der ersten 48 Stunden, die von der Mirage-Honeypot-Flotte erfasst wurden.

Dem Bericht zufolge war PHP2Shell bereits vor der Verfügbarkeit des Patches durchgesickert. Rund 16 Stunden vor der Auslieferung des Fixes traf die erste Anfrage ein, die einem Exploit ähnelte.