As desastrosas vulnerabilidades do PHP foram exploradas dias antes do patch
Os hackers tentaram explorar as falhas de PHP que afetavam sites na web dias antes de serem corrigidas, de acordo com um relatório da Amazon Threat Intelligence. CJ Moses, diretor de segurança da informação da Amazon, escreve que a equipe de segurança da empresa encontrou uma tentativa de exploração do PHP2Shell em 17 de outubro por meio de um sistema de monitoramento projetado para atrair hackers, conforme relatado anteriormente por Com fio e Computador bipando.
Na quarta-feira, os sites se esforçaram para aplicar um patch para duas vulnerabilidades críticas de segurança que afetam o PHP, uma linguagem de programação usada por grande parte da Internet, incluindo sites WordPress. As falhas – CVE-2026-109618 e CVE-2026-109619 – podem permitir que hackers executem códigos maliciosos remotamente em dispositivos vulneráveis. Elizabeth Barron, diretora executiva da PHP Foundation, conta A beira que “até onde sabemos, não houve nenhuma tentativa bem-sucedida de execução remota de código”, mas enfatiza que a atualização dos sistemas afetados é “imperativa”.
A Fundação PHP teorizou inicialmente o bug em 2024 e, embora sua equipe de segurança apresentasse soluções potenciais, uma correção foi adiada devido a “quebras de compatibilidade com versões anteriores, novo potencial de negação de serviço ou necessidade de alterações em muitas extensões de terceiros que pareciam impossíveis de coordenar”. Enquanto a PHP Foundation se preparava para lançar a correção esta semana, detalhes sobre os bugs começaram a surgir em fóruns e mídias sociais, com algumas empresas de segurança divulgando informações sobre eles antes do lançamento oficial.
Mas o relatório da Amazon Threat Intelligence sugere que um malfeitor pode ter identificado a vulnerabilidade antes que os detalhes começassem a vazar. “Embora a vulnerabilidade estivesse sob embargo, o direcionamento de um honeypot a partir de um endereço IP anônimo sugere que a atividade foi conduzida por um ator de ameaça, embora ainda não esteja claro como o ator adquiriu informações de exploração antes da divulgação”, escreve Moses. O Amazon Threat Intelligence descobriu várias outras tentativas de exploração em 21 de outubro, horas antes do lançamento do patch.
“Estamos confiantes de que uma vulnerabilidade grave com uma correção presa em compromissos difíceis chegaria agora à liderança da PHP Foundation muito mais cedo, pois estamos mudando os processos para que a liderança possa ajudar a conduzir a situação para uma resolução oportuna”, afirma a PHP Foundation. “Agora estamos priorizando medidas para garantir que vulnerabilidades que precisam de correções igualmente complexas sejam resolvidas mais rapidamente quando forem relatadas no futuro.”
