AWS identificou tentativa de explorar o PHP2Shell em 17 de outubro, quatro dias antes da divulgação pública das falhas.
Novas tentativas apareceram horas antes do lançamento das correções e partiram de diferentes infraestruturas.
PHP Foundation afirma que ainda não há confirmação de ataque bem-sucedido com execução remota de código.
As duas vulnerabilidades críticas do PHP divulgadas ontem (21/10) estavam sob ataque há quatro dias. A Amazon Web Services ( AWS ) identificou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento.
As falhas, conhecidas como PHP2Shell, permitem que invasores tentem executar código remotamente em servidores vulneráveis e receberam nota 9,2 de 10 em gravidade, levando empresas e órgãos públicos a correr para atualizar sistemas .
Quando começaram as tentativas de ataque?
A AWS identificou a primeira tentativa a partir de um endereço IP associado a um serviço comercial de anonimização. Segundo a Amazon, o comportamento indica uma provável ação maliciosa, mas ainda não está claro como o responsável obteve informações sobre a vulnerabilidade antes da divulgação pública.
A situação se intensificou nessa quarta-feira. A AWS identificou diferentes provas e novas tentativas de exploração vindas de outras infraestruturas. Os códigos e serviços utilizados variavam, o que sugere a participação de vários agentes.
Ainda assim, não há confirmação de que essas primeiras ações tenham conseguido comprometer servidores reais. A diretora-executiva da PHP Foundation, Elizabeth Barron, afirmou ao The Verge que ainda não há casos confirmados de exploração bem-sucedida , apesar das diversas tentativas já detectadas.
Falhas são tão preocupantes
AWS identificou diferentes tentativas de exploração (imagem: Kevin Horvat/Unsplash)
Depois que as correções foram publicadas, códigos capazes de explorar as falhas começaram a aparecer rapidamente. As vulnerabilidades são identificadas como CVE-2026-109618 e CVE-2026-109619 e o alcance preocupa, já que o PHP está presente em grande parte da web e serve de base para plataformas populares. O WordPress , por exemplo, é escrito em PHP e pode ser usado para administrar desde blogs até lojas virtuais.
No Brasil, serviços da Anatel ficaram indisponíveis e o Sistema Eletrônico de Informações (SEI) chegou a sair do ar enquanto órgãos públicos atualizavam seus servidores para reduzir os riscos.
A AWS afirma que o PHP2Shell agora está sendo explorado em larga escala na internet. Mesmo sem casos confirmados de execução remota de código bem-sucedida, a quantidade de tentativas aumenta a urgência para administradores que ainda não instalaram as correções.
A Amazon também chama atenção para o papel da inteligência artificial nessa nova dinâmica. Segundo a empresa, ferramentas assistidas por IA reduzem o tempo para encontrar um método eficaz de ataque.
O que dificultou a correção?
Os problemas que acabaram resultando no PHP2Shell já eram discutidos desde 2024. Tentativas anteriores de correção esbarraram no risco de quebrar compatibilidade com sistemas existentes e criar novas brechas. A PHP Foundation afirma que pretende revisar seus processos para que vulnerabilidades críticas recebam decisões mais rápidas no futuro.
O projeto PHP lançou as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para corrigir as duas falhas e recomenda atualização imediata . Segundo os desenvolvedores, não existe uma configuração capaz de eliminar completamente os riscos sem instalar as novas versões.
A AWS recomenda ainda revisar registros dos servidores, procurar execuções inesperadas de processos e verificar alterações suspeitas em arquivos a partir de 17 de outubro de 2026.
Hackers tentaram explorar falhas no PHP antes do alerta
