Falhas PHP2Shell sofreram tentativas de ataque quatro dias antes do alerta, diz AWS

AWS viu tentativas de explorar falhas críticas do PHP quatro dias antes do alerta. Atualizar os servidores é urgente.

A Amazon Web Services (AWS) detectou, em 17 de outubro, a primeira tentativa de explorar as vulnerabilidades críticas do PHP conhecidas como PHP2Shell. As falhas só foram divulgadas publicamente em 21 de outubro, quatro dias depois. Segundo a empresa, a atividade partiu de um endereço IP ligado a um serviço comercial de anonimização. Ainda não está claro como o responsável soube da brecha antes do anúncio. As informações são do Tecnoblog.

As falhas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam nota 9,2 de 10 em gravidade e podem permitir a execução remota de código em servidores vulneráveis. Novas tentativas surgiram horas antes da liberação das correções, vindas de infraestruturas diferentes, o que sugere a ação de vários agentes. A AWS afirma que o PHP2Shell já é explorado em larga escala na internet e aponta que ferramentas assistidas por inteligência artificial reduzem o tempo necessário para criar um método de ataque eficaz.

A diretora-executiva da PHP Foundation, Elizabeth Barron, disse ao The Verge que ainda não há casos confirmados de exploração bem-sucedida. O PHP está presente em grande parte da web e serve de base para plataformas como o WordPress. No Brasil, serviços da Anatel ficaram indisponíveis e o Sistema Eletrônico de Informações (SEI) chegou a sair do ar enquanto órgãos públicos atualizavam seus servidores.

O projeto PHP lançou as versões 8.2.35, 8.3.36, 8.4.27 e 8.5.12 para corrigir os problemas e recomenda atualização imediata, pois nenhuma configuração elimina o risco por completo sem as novas versões. A AWS orienta ainda revisar registros dos servidores, procurar execuções inesperadas de processos e verificar alterações suspeitas em arquivos a partir de 17 de outubro de 2026. Os problemas já eram discutidos desde 2024, mas correções anteriores esbarraram no risco de quebrar a compatibilidade com sistemas existentes.

Quem administra sites, lojas virtuais ou sistemas em PHP, como os feitos em WordPress, inclusive em Porto Velho e em Rondônia, deve atualizar para as versões corrigidas e checar os registros do servidor. O risco é o mesmo para qualquer site no Brasil; não há informação de ataques específicos na região.