N環球 
Amazon: os ataques PHP2Shell começaram quatro dias antes dos patches, agora amplamente explorados
O Amazon Threat Intelligence diz que as tentativas de exploração contra as falhas críticas do PHP2Shell começaram em 17 de outubro, quatro dias antes do envio dos patches – e as falhas agora estão sendo amplamente exploradas.
Por que isso importa
PHP alimenta até 80% dos sites em todo o mundo, incluindo WordPress, Drupal e Joomla. As duas falhas críticas (CVE-2026-109618 e CVE-2026-109619, CVSS 9.2) permitem a execução remota de código pré-autenticação. A Amazon confirmou que os invasores não esperaram pela divulgação pública: a primeira tentativa de exploração chegou em 17 de outubro, quatro dias antes da PHP Foundation enviar os patches em 21 de outubro. A suposição de que a data de divulgação marca o início dos ataques não é mais válida – os defensores devem iniciar suas investigações a partir de 17 de outubro.
Relatório completo
A equipe de inteligência de ameaças da Amazon divulgou em uma postagem no blog de segurança em 22 de outubro que sua rede de honeypot MadPot registrou a primeira tentativa de exploração PHP2Shell em 17 de outubro, enquanto as vulnerabilidades ainda estavam sob embargo (o lançamento público foi às 14h UTC de 21 de outubro). A tentativa partiu de um endereço IP vinculado a uma rede comercial de anonimato. “Ainda não está claro como o ator adquiriu informações de exploração antes da divulgação”, disse CJ Moses, diretor de segurança da informação da Amazon.
No próprio dia 21 de outubro, a Amazon viu várias explorações de prova de conceito, a primeira cerca de 12 horas antes do lançamento do patch. As cargas úteis e a infraestrutura anônima variaram, sugerindo vários atores distintos. Poucas horas após o envio do patch, novas explorações foram ativadas nos sensores da Amazon. A Amazon agora descreve o PHP2Shell como “amplamente explorado na natureza”, e as tentativas vistas pela Cloudflare chegaram a milhões.
Dataminr disse no mesmo dia que a atividade observada permanece limitada a varredura, impressão digital e explorações não funcionais, sem comprometimentos conhecidos – mas explorações funcionais são apenas uma questão de tempo.
Plano de fundo
As falhas afetam todas as versões do PHP 7.xe 8.x e foram descobertas por pesquisadores da Califórnia, OpenAI e Wiz, de propriedade do Google. O código com erros permaneceu no PHP por anos, até que uma auditoria de agosto financiada pela OpenAI usou um modelo de IA para mostrar que era praticamente explorável – a origem do nome “PHP2Shell”. Versões fixas: PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Conselho da Amazon: atualizar o PHP é a única solução completa; as investigações devem começar a partir de 17 de outubro; sistemas que ainda não podem corrigir podem considerar bloquear uploads de arquivos multipartes depois de testar o que isso quebra.
💬 Comments
No comments yet. Be the first!