PHP2Shell: hackers tentaram explorar falhas 4 dias antes da divulgação
A equipe de inteligência de ameaças da Amazon identificou uma tentativa de exploração das vulnerabilidades críticas PHP2Shell em 17 de outubro de 2026, quatro dias antes da divulgação pública das falhas. A atividade foi registrada pelo MadPot, serviço de honeypots da empresa, enquanto novas tentativas de ataque continuam sendo observadas após a disponibilização das correções.
Segundo CJ Moses, CISO da Amazon Integrated Security, a tentativa partiu do endereço IP 103.216.220[.]92, geolocalizado na Austrália e associado a uma rede comercial de anonimização. O uso dessa infraestrutura para atingir um honeypot sugere uma ação maliciosa, mas ainda não está claro como os responsáveis obtiveram informações sobre as vulnerabilidades antes de sua divulgação.
As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam pontuação 9,2 no CVSS v4.0 e foram descobertas por pesquisadores da Calif, OpenAI e Wiz, empresa pertencente ao Google. Ambas afetam o núcleo do PHP e podem permitir execução remota de código (RCE) sem autenticação.
As vulnerabilidades atingem versões das séries PHP 7.x e 8.x e representam riscos para endpoints acessíveis em servidores vulneráveis, incluindo formulários, páginas de login e verificações de integridade. Como estão presentes no próprio interpretador PHP, a exposição independe do sistema de gerenciamento de conteúdo, framework ou plugins utilizados pela aplicação.
De acordo com a CrowdStrike, ataques explorando essas falhas podem deixar poucos rastros digitais. Os processos do servidor permanecem estáveis, as respostas HTTP retornam código 200 e os logs das aplicações podem não registrar anormalidades, pois a exploração ocorre antes da execução do código da aplicação.
Em determinados cenários, o único vestígio no servidor pode ser um erro fatal relacionado ao limite de memória, registrado no log de erros do servidor web. Esse evento pode ser interpretado como uma ocorrência comum, dificultando a identificação de sistemas comprometidos.
Divulgação antecipada e novas tentativas de exploração
A divulgação coordenada das vulnerabilidades estava inicialmente prevista para 22 de outubro de 2026, às 14h UTC. Entretanto, o vazamento antecipado dos identificadores CVE e de um código de prova de conceito (PoC) levou a PHP Foundation a antecipar a publicação das correções para 21 de outubro.
Segundo a fundação, as duas falhas estão relacionadas a componentes centrais do PHP responsáveis pelo gerenciamento de memória e tratamento de erros. Essa característica tornou a correção particularmente complexa, devido à necessidade de preservar compatibilidade, desempenho e funcionamento das extensões de terceiros.
No dia 21 de outubro, a Amazon detectou novas tentativas de exploração contra seus honeypots, com o primeiro registro por volta das 2h UTC. Outras atividades ocorreram nas seis horas seguintes, utilizando diferentes payloads e serviços de anonimização.
As tentativas foram associadas aos endereços IP 31.223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188 e 95.217.98[.]37. A diversidade das técnicas e infraestruturas utilizadas sugere a participação de múltiplos invasores, embora a Amazon ainda não tenha determinado se essas tentativas teriam sido bem-sucedidas em ambientes reais.
A empresa de segurança ELLIO também identificou atividades relacionadas ao PHP2Shell. Seus sensores registraram a primeira requisição maliciosa em 21 de outubro, às 8h36 UTC, menos de uma hora depois de a Chainguard publicar imagens de software contendo as correções.
A PHP Foundation acusou a Chainguard de violar o embargo de divulgação. A empresa havia recebido os patches antecipadamente para preparar atualizações destinadas aos clientes, mas a publicação precoce das imagens teria permitido que invasores analisassem as correções em formato binário antes da disponibilização oficial.
Agências internacionais alertam para riscos
A gravidade das vulnerabilidades levou organizações como o National Cyber Security Centre (NCSC), do Reino Unido, e a Cybersecurity and Infrastructure Security Agency (CISA), dos Estados Unidos, a recomendar a aplicação imediata das correções ou a retirada temporária de sistemas vulneráveis da internet.
O FBI orientou administradores a monitorar atividades suspeitas em servidores web, especialmente processos PHP que iniciem shells de comando inesperadamente ou realizem downloads de arquivos. A agência também destacou a necessidade de ferramentas de monitoramento de processos para identificar possíveis explorações.
A National Security Agency (NSA) alertou que as falhas podem proporcionar acesso direto ao sistema de arquivos e aos bancos de dados dos servidores afetados. A OpenAI, que classificou o PHP2Shell como um dos problemas de segurança mais impactantes dos últimos tempos, disponibilizou uma skill para o Codex capaz de verificar se sites ou binários PHP locais estão vulneráveis.
As correções oficiais foram disponibilizadas nas versões PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Instalações mais antigas exigem atenção específica, pois diversas versões já não recebem suporte regular do projeto.
Mais de 2,6 milhões de servidores PHP estão expostos à internet
O alcance potencial das vulnerabilidades é significativo. Segundo a Cloudflare, o PHP está presente em quase 70% dos sites, incluindo aplicações baseadas em plataformas amplamente utilizadas, como WordPress e Magento.
A exploração do PHP2Shell pode permitir execução de código malicioso, exposição de informações de clientes e interrupção de serviços, dependendo das permissões disponíveis no servidor comprometido.
Um levantamento da VulnCheck identificou 2.608.039 hosts com PHP acessíveis pela internet. Desse total, mais de 700 mil executavam versões entre PHP 3.x e 7.3, enquanto aproximadamente 400 mil utilizavam PHP 7.4, 8.0 ou 8.1. Outros 403 mil servidores operavam versões das séries 8.2 a 8.5.
Os números representam a distribuição de versões observadas pela empresa e não confirmam que todos os sistemas identificados estejam vulneráveis ou tenham sido comprometidos.
A plataforma Pantheon informou ter bloqueado mais de 60 mil requisições suspeitas relacionadas às vulnerabilidades. A VulnCheck também identificou os endereços 85.11.167[.]243 e 45.198.224[.]169 utilizando o identificador de agente php2shell-scan/109618 para explorar a CVE-2026-109618 contra seus honeypots. Já o IP 109.71.252[.]97 foi associado a tentativas envolvendo ambas as falhas.
A Cloudflare confirmou ataques direcionados a seus clientes, incluindo modificações sucessivas nos payloads para tentar contornar os mecanismos de proteção. A CloudLinux também disponibilizou pacotes corrigidos para as versões ea-php52 até ea-php85 e todas as versões alt-php.
Empresas como Akamai, AWS, Arctic Wolf, Automattic, Cisco Talos, Corelight, Fastly, Google Cloud, Imperva, Palo Alto Networks Unit 42, Rapid7, Sophos, Vercel, watchTowr e Zscaler, entre outras, publicaram orientações e medidas de mitigação.
Ilkka Turunen, Field CTO da Sonatype, destacou que as organizações precisam identificar onde o PHP é utilizado, definir responsáveis pelas atualizações e acelerar a implantação das correções. O especialista também observou que muitos ambientes antigos e distribuições de sistemas operacionais incorporam PHP, o que pode prolongar o processo de atualização.
Para CJ Moses, da Amazon, o intervalo entre a divulgação de uma correção e o surgimento de exploits funcionais está diminuindo. A análise de patches e alertas com auxílio de inteligência artificial reduz o esforço necessário para desenvolver ataques, permitindo que mais invasores explorem vulnerabilidades em questão de horas ou minutos.
A Amazon recomenda que as investigações de possíveis comprometimentos por PHP2Shell considerem atividades desde pelo menos 17 de outubro, e não apenas a data de divulgação pública das falhas.
