MADRID 23 out. (Portaltic/EP) -
Agentes mal-intencionados tentaram explorar as vulnerabilidades críticas identificadas no ecossistema PHP, conhecidas como PHP2Shell, dias antes de elas serem divulgadas na última quarta-feira, conforme consta em um relatório da Amazon Threat Intelligence.
O PHP Group divulgou, em 21 de outubro, a existência de duas falhas críticas em sua linguagem de programação, identificadas como CVE-2026-109618 e CVE-2026-109619, que ficaram conhecidas popularmente como “PHP2shell”. Naquele mesmo dia, também foi lançada a atualização de segurança urgente que corrige essas falhas.
As duas vulnerabilidades abrem caminho para que invasores executem seus próprios códigos em servidores afetados, assumindo o controle com o objetivo de alterar sites de forma maliciosa ou roubar dados.
Embora inicialmente tenha sido informado que não havia relatos de exploração dessas duas falhas, a Cloudflare alertou que estavam ocorrendo “ataques iniciais” contra sites PHP em sua plataforma.
Um relatório da Amazon confirmou que houve tentativas de exploração dias antes do fim do embargo informativo e da divulgação das vulnerabilidades. Mais especificamente, a equipe da Amazon Threat Intelligence identificou uma tentativa de exploração em 17 de outubro.
Essa tentativa foi detectada na telemetria do MadPot, uma ferramenta de segurança que a Amazon utiliza como isca para atrair e analisar agentes maliciosos. Isso permitiu identificar que a tentativa se originou de “um endereço IP associado a uma rede de anonimização comercial”.
Na mesma quarta-feira, a Amazon também identificou “vários exploits de prova de conceito para a vulnerabilidade” e “tentativas adicionais de exploração do PHP2Shell direcionadas ao MadPot a partir de infraestrutura de anonimização adicional”. “As cargas úteis e as opções de infraestrutura de anonimização variaram, o que sugere o envolvimento de vários agentes”, explicam em um comunicado.
A atividade maliciosa não cessou após a divulgação das vulnerabilidades e a correção. Diante dessa situação, e considerando o tempo que alguns desenvolvedores poderiam levar para atualizar seus sites, entidades como a Equipe de Resposta a Emergências Cibernéticas da União Europeia recomendaram que os sites que não pudessem ser atualizados imediatamente “isolassem os aplicativos voltados para a internet das redes públicas até que houvesse uma solução disponível”.
Essa medida afetou, nos últimos dias, inúmeros sites e aplicativos em todo o mundo que utilizam PHP, uma linguagem de programação amplamente utilizada para processar formulários, gerenciar sessões ou consultar bancos de dados. Um exemplo desse uso generalizado é o WordPress, já que todos os sites criados com sua plataforma funcionam em servidores que utilizam PHP, abrangendo 40% da internet.
Vários países, como a Holanda, a Bélgica e a França, confirmaram suspensões voluntárias de serviços oficiais, e o Japão recomendou desativar sites em casos extremos.
Esta notícia foi traduzida por um tradutor automático