A Amazon Threat Intelligence identificou uma tentativa de exploração do PHP2Shell datada de 17 de outubro de 2026 na telemetria do honeypot Mad Pot, quatro dias antes da divulgação pública de CVE-2026-109618 e CVE-2026-109619. A tentativa veio de um endereço IP ligado a uma rede comercial de anonimização. Embora a vulnerabilidade estivesse sob embargo, o direcionamento a um honeypot sugere que um agente de ameaça estava ativo, e ainda não está claro como esse agente obteve informações do exploit antes da divulgação.
O embargo do PHP deveria ser suspenso em 21 de outubro de 2026, às 14h00 UTC. A Amazon Threat Intelligence observou vários exploits de prova de conceito no dia do lançamento, o primeiro por volta das 02h00 UTC. Entre 02h00 e 08h00 UTC, tentativas adicionais de exploração contra o Mad Pot vieram de outras infraestruturas anonimizadas. Cargas úteis variadas sugerem múltiplos agentes, e a análise técnica continua para determinar se alguma tentativa teria tido sucesso contra sistemas reais.
Em poucas horas após o lançamento da correção, surgiram mais exploits de prova de conceito, usados contra os sensores da Amazon quase imediatamente. O PHP2Shell agora é amplamente explorado na natureza. A Amazon tira duas lições: um embargo protege os defensores apenas até que alguém mais encontre a mesma falha, e a data de divulgação pública pode não ser a data mais antiga de exploração. Como a análise assistida por IA está barateando a transformação de correções em exploits funcionais, a lacuna entre correção e ataque está diminuindo.
As equipes de segurança devem medir os prazos de correção de vulnerabilidades críticas expostas à internet em horas, não em dias, iniciar investigações a partir da exploração mais antiga conhecida e implantar detecções que não dependam de assinaturas específicas de CVE. Atualizar para versões corrigidas do PHP é a única remediação completa. Quando a correção imediata não for possível, as equipes devem considerar bloquear uploads de arquivos em várias partes após avaliar o impacto na aplicação, e revisar os logs em busca de requisições POST contendo a string PHP_SESSION_UPLOAD_PROGRESS.
Fonte: Hacker News · Resumido por HeadlinesBriefing