Hackers tentaram explorar falhas no PHP antes do alerta

AWS detectou primeira tentativa quatro dias antes da divulgação oficial. Resumo AWS identificou tentativa de explorar o PHP2Shell em 17 de outubro, quatro dias antes da divulgação pública das falhas. Novas tentativas apareceram horas antes do lançamento das correções e partiram de diferentes infraestruturas.

PHP Foundation afirma que ainda não há confirmação de ataque bem-sucedido com execução remota de código. As duas vulnerabilidades críticas do PHP divulgadas ontem (21/10) estavam sob tentativa de ataque há quatro dias. A Amazon Web Services (AWS) identificou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento.

As falhas, conhecidas como PHP2Shell, permitem que invasores tentem executar código remotamente em servidores vulneráveis e receberam nota 9,2 de 10 em gravidade, levando empresas e órgãos públicos a correr para atualizar sistemas. Quando começaram as tentativas de ataque? A AWS identificou a primeira tentativa a partir de um endereço IP associado a um serviço comercial de anonimização.

Segundo a Amazon, o comportamento indica uma provável ação maliciosa, mas ainda não está claro como o responsável obteve informações sobre a vulnerabilidade antes da divulgação pública. A situação se intensificou nessa quarta-feira. A AWS identificou diferentes provas e novas tentativas de exploração vindas de outras infraestruturas.

Os códigos e serviços utilizados variavam, o que sugere a participação de vários agentes. Ainda assim, não há confirmação de que essas primeiras ações tenham conseguido comprometer servidores reais. A diretora-executiva da PHP Foundation, Elizabeth Barron, afirmou ao The Verge que ainda não há casos confirmados de exploração bem-sucedida, apesar das diversas tentativas já detectadas.

Falhas são tão preocupantes Depois que as correções foram publicadas, códigos capazes de explorar as falhas começaram a aparecer rapidamente. As vulnerabilidades são identificadas como CVE-2026-109618 e CVE-2026-109619 e o alcance preocupa, já que o PHP está presente em grande parte da web e serve de base para plataformas populares. O WordPress, por exemplo, é escrito em PHP e pode ser usado para administrar desde blogs até lojas virtuais.

No Brasil, serviços da Anatel ficaram indisponíveis e o Sistema Eletrônico de Informações (SEI) chegou a sair do ar enquanto órgãos públicos atualizavam seus servidores para reduzir os riscos. A AWS afirma que o PHP2Shell agora está sendo explorado em larga escala na internet. Mesmo sem casos confirmados de execução remota de código bem-sucedida, a quantidade de tentativas aumenta a urgência para administradores que ainda não instalaram as correções.

A Amazon também chama atenção para o papel da inteligência artificial nessa nova dinâmica. Segundo a empresa, ferramentas assistidas por IA reduzem o tempo para encontrar um método eficaz de ataque. O que dificultou a correção?

Os problemas que acabaram resultando no PHP2Shell já eram discutidos desde 2024. Tentativas anteriores de correção esbarraram no risco de quebrar compatibilidade com sistemas existentes e criar novas brechas. A PHP Foundation afirma que pretende revisar seus processos para que vulnerabilidades críticas recebam decisões mais rápidas no futuro.

O projeto PHP lançou as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para corrigir as duas falhas e recomenda atualização imediata. Segundo os desenvolvedores, não existe uma configuração capaz de eliminar completamente os riscos sem instalar as novas versões. A AWS recomenda ainda revisar registros dos servidores, procurar execuções inesperadas de processos e verificar alterações suspeitas em arquivos a partir de 17 de outubro de 2026.