Novas tentativas de exploração das duas vulnerabilidades críticas do PHP, divulgadas ontem (21/10), apareceram horas antes do lançamento das correções e partiram de diferentes infraestruturas. Segundo a PHP Foundation, ainda não há confirmação de ataque bem-sucedido com execução remota de código. As falhas estavam sob tentativa de ataque havia quatro dias.

A Amazon Web Services (AWS) identificou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento. Conhecidas como PHP2Shell, as falhas permitem que invasores tentem executar código remotamente em servidores vulneráveis. Elas receberam nota 9,2 de 10 em gravidade, o que levou empresas e órgãos públicos a correr para atualizar seus sistemas.

A situação se intensificou nesta quarta-feira. A AWS identificou provas e novas tentativas de exploração vindas de outras infraestruturas. Os códigos e serviços utilizados variavam, o que sugere a participação de vários agentes. Ainda assim, não há confirmação de que essas ações tenham comprometido servidores reais. A diretora-executiva da PHP Foundation, Elizabeth Barron, afirmou ao The Verge que ainda não há casos confirmados de exploração bem-sucedida, apesar das diversas tentativas já detectadas.

Depois que as correções foram publicadas, códigos capazes de explorar as falhas começaram a circular rapidamente. As vulnerabilidades são identificadas como CVE-2026-109618 e CVE-2026-109619. O alcance preocupa, já que o PHP está presente em grande parte da web e serve de base para plataformas populares. O WordPress, por exemplo, é escrito em PHP e pode ser usado para administrar desde blogs até lojas virtuais.

No Brasil, serviços da Anatel ficaram indisponíveis e o Sistema Eletrônico de Informações (SEI) chegou a sair do ar enquanto órgãos públicos atualizavam seus servidores para reduzir os riscos. A AWS afirma que o PHP2Shell agora está sendo explorado em larga escala na internet. Mesmo sem casos confirmados de execução remota bem-sucedida, o volume de tentativas aumenta a urgência para administradores que ainda não instalaram as correções.

A Amazon também chama atenção para o papel da inteligência artificial nessa dinâmica. Segundo a empresa, ferramentas assistidas por IA reduzem o tempo necessário para encontrar um método eficaz de ataque. Os problemas que resultaram no PHP2Shell já eram discutidos desde 2024. Tentativas anteriores de correção esbarraram no risco de quebrar a compatibilidade com sistemas existentes e de criar novas brechas. A PHP Foundation afirma que pretende revisar seus processos para que vulnerabilidades críticas recebam decisões mais rápidas no futuro.

O projeto PHP lançou as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para corrigir as duas falhas e recomenda atualização imediata. De acordo com os desenvolvedores, não existe configuração capaz de eliminar completamente os riscos sem instalar as novas versões. A AWS recomenda ainda revisar os registros dos servidores, procurar execuções inesperadas de processos e verificar alterações suspeitas em arquivos a partir de 17 de outubro de 2026.

Com informacoes de Tecnoblog.