Pesquisadores de cibersegurança da divisão de inteligência de segurança da Amazon (Amazon Threat Intelligence) confirmaram que atacantes começaram a explorar as perigosas vulnerabilidades PHP2Shell quatro dias inteiros antes do lançamento oficial dos patches de segurança.
As duas vulnerabilidades críticas possuem os identificadores CVE-2026-109618 e CVE-2026-109619 e permitem que os atacantes executem código remotamente (RCE) nos sistemas afetados. A equipe de desenvolvimento da linguagem PHP apressou-se em lançar as correções necessárias em 21 de outubro, um dia após instar os administradores de sistemas a se prepararem para instalar as atualizações assim que estivessem disponíveis.
Vazamento de detalhes das vulnerabilidades e aceleração do cronograma
A equipe do PHP explicou que as coisas aceleraram, contrariando o plano original, dois dias antes da divulgação completa, após o vazamento de detalhes técnicos sobre as vulnerabilidades PHP2Shell na internet, que incluíam identificadores CVE e conselhos de mitigação direcionados a alguns provedores de infraestrutura crítica. Embora algumas provas de conceito (PoC) de exploração tenham sido publicadas antes do lançamento das atualizações, a equipe do PHP observou que elas não possuíam qualquer capacidade funcional real de invasão naquele momento.
Monitoramento de ataques em campo e seu início
O relatório da Amazon surgiu após várias empresas de segurança, incluindo Cloudflare, watchTowr, Previdian, Hadrian e Patchstack, terem detectado tentativas de exploração malsucedidas que precederam a divulgação pública. De acordo com declarações de CJ Moses, Diretor de Segurança da Informação da Amazon Web Services (AWS), as primeiras tentativas começaram no sábado, 17 de outubro, a partir de endereços de protocolo de internet pertencentes a uma rede comercial de ocultação de identidade.
Moses acrescentou que as cargas úteis reais e as infraestruturas usadas para ocultar a identidade variaram, indicando o envolvimento de vários grupos de atacantes, alertando os defensores para não confiarem na data da divulgação pública como o marco inicial dos ataques e confirmando que as vulnerabilidades estão sendo amplamente exploradas na natureza atualmente.
O que isso significa para sites e sistemas?
A linguagem PHP (Hypertext Preprocessor) serve como a base de programação aberta que alimenta cerca de 80% de todos os sites na internet, incluindo plataformas populares de gerenciamento de conteúdo como WordPress, Drupal e Joomla. Dados da plataforma VirusTotal indicam a existência de mais de 5,1 milhões de servidores PHP expostos na internet, dos quais cerca de 3,8 milhões possuem pelo menos uma porta aberta a possíveis ataques, tornando o impacto potencial extremamente amplo.