PHP2Shell foi explorado 4 dias antes da divulgação, aponta Amazon

A telemetria do MadPot, a rede de honeypots da Amazon, registrou em 17 de outubro de 2026 uma tentativa de exploração do PHP2Shell. As CVE-2026-109618 e CVE-2026-109619 só ficaram públicas em 21 de outubro, quando o embargo acabou, às 14h UTC. O ataque veio de um IP ligado a uma rede comercial de anonimização. A Amazon não sabe como o agente teve acesso a informações do exploit antes da divulgação.

Na madrugada de 21 de outubro (a partir das 2h UTC) apareceram as primeiras provas de conceito. Até as 8h UTC vieram novas tentativas contra o MadPot, com payloads e infraestrutura de anonimização diferentes, o que sugere vários atores. Depois do patch, novos PoCs surgiram em horas e passaram a ser usados quase de imediato. A Amazon diz que o PHP2Shell já é explorado em larga escala. A análise técnica segue aberta e ainda não se sabe se alguma tentativa funcionaria em sistemas reais.

Na prática, a única correção completa é atualizar o PHP. Não há workaround só de configuração que cubra as duas CVEs. Quem não consegue atualizar agora pode avaliar bloquear uploads multi-part (testando o impacto antes), buscar POSTs com PHP_SESSION_UPLOAD_PROGRESS, revisar logs do servidor web e checar execução de processos e arquivos alterados. Os IPs de IOC são infraestrutura compartilhada, então a orientação é investigar, não só bloquear.

O padrão já aparecia na cobertura do CEVIU. Em abril de 2026, a matéria sobre o LMDeploy mostrou exploração 12 horas e meia após a divulgação. Em 29 de junho de 2026, o caso do Cisco CUCM mostrou ataques em menos de 24 horas. Em 6 de maio de 2026, o zero-day do cPanel (CVE-2026-41940) tinha sido explorado cerca de 64 dias antes do aviso. O PHP2Shell junta os dois cenários: exploração antes do aviso (quatro dias) e explosão de tentativas poucas horas depois do patch.

Um SLA de patch de 7 ou 30 dias parte de uma folga que, segundo a Amazon, já não existe para falhas críticas expostas à internet. A data do advisory deixa de ser o marco zero da investigação: aqui, o ponto de partida é 17 de outubro. E como a primeira exploração costuma vir antes de existir assinatura da CVE, detecções comportamentais passam a pesar mais.