Evolução dos ataques ao PHP2Shell
Apenas dois dias após o lançamento de atualizações de emergência para corrigir as vulnerabilidades do PHP2Shell (registradas sob os códigos CVE-2026-109618 e CVE-2026-109619), empresas de cibersegurança detectaram tentativas intensas de agentes de ameaça para explorar essas falhas na implantação de uma variante da famosa botnet Mirai. Apesar da gravidade das vulnerabilidades, que permitem a execução remota de código (RCE) e receberam pontuação CVSS v4.0 de 9.2, nenhum comprometimento bem-sucedido em ambientes reais foi confirmado até o momento.
Desafios técnicos para os atacantes
Análises publicadas por empresas como Sophos e Hunt.io indicam que os atacantes estão enfrentando extrema dificuldade em transformar essas falhas em explorações eficazes. A Sansec explicou que as vulnerabilidades exigem conhecimento preciso das configurações do servidor e de condições específicas de execução, sendo que a maioria das ferramentas disponíveis publicamente falha ao encontrar configurações padrão do PHP.
Por sua vez, a VulnCheck conseguiu desenvolver uma exploração que contorna a técnica ASLR (aleatorização do espaço de endereçamento) em sistemas x86-64, uma tecnologia de proteção de memória que antes era considerada um obstáculo importante para os atacantes. No entanto, essa exploração permanece disponível apenas para os clientes da empresa, refletindo a lacuna entre as ferramentas disponíveis para o público e as capacidades ofensivas avançadas.
O que muda na prática?
- Complexidade da exploração: Ferramentas encontradas em servidores de atacantes (via SOCRadar) mostraram que eles estão realizando testes laboratoriais intensivos, mas falham ao invadir servidores reais que não correspondem aos seus ambientes de teste.
- Medidas de precaução: O temor em relação a essas vulnerabilidades levou muitas organizações, incluindo órgãos governamentais e educacionais na Europa, a desativarem temporariamente seus sistemas como medida preventiva enquanto aplicam as atualizações.
- Lacuna de patches: Dados da Qualys revelaram um grande desafio na gestão de atualizações, já que milhões de cópias do PHP ainda rodam em versões muito antigas (fim de vida útil) que não receberão correções de segurança, tornando-as vulneráveis a longo prazo.
O contexto de segurança
As vulnerabilidades foram descobertas em agosto passado pela Wiz, OpenAI e Calif, e o lançamento de patches (versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35) foi acelerado em 21 de outubro após o vazamento dos identificadores CVE. Embora tentativas iniciais de exploração tenham sido detectadas pela Amazon em 17 de outubro, a atividade ofensiva ainda não se traduziu em invasões confirmadas, dando aos administradores de sistemas uma oportunidade crucial para aplicar as atualizações antes que os atacantes desenvolvam ferramentas mais eficientes.