Amazon Threat Intelligence flagra exploração do PHP2Shell no MadPot antes da divulgação pública

A Amazon Threat Intelligence viu, na telemetria do MadPot (a rede de honeypots da AWS), uma tentativa de exploração do PHP2Shell datada de 17 de outubro de 2026. A divulgação pública das CVE-2026-109618 e CVE-2026-109619 só veio quatro dias depois. O ataque partiu de um IP de rede comercial de anonimização. A Amazon diz que isso sugere ação de um agente de ameaça, mas não sabe como ele obteve informação do exploit antes da divulgação.

O embargo do PHP terminaria em 21 de outubro de 2026, às 14h UTC. Naquele dia, a Amazon identificou várias provas de conceito, a primeira por volta das 2h UTC. Entre 2h e 8h UTC surgiram novas tentativas contra o MadPot, com payloads e infraestrutura de anonimização diferentes, o que indica múltiplos atores. A análise técnica segue em andamento e não está claro se as tentativas funcionariam em sistemas reais. Depois do patch, novas provas de conceito apareceram em horas e a exploração em larga escala já é observada.

A remediação completa é atualizar para as versões corrigidas do PHP. Não há workaround só de configuração que cubra as duas falhas. Onde não der para atualizar de imediato, a Amazon sugere avaliar o bloqueio de uploads multipart, buscar POSTs com a string PHP_SESSION_UPLOAD_PROGRESS, revisar logs do servidor web e checar execução de processos e alterações de arquivos inesperadas. Os IPs identificados são infraestrutura compartilhada de anonimização, então devem ser investigados, não bloqueados às cegas.

Em 22 de outubro de 2026, o CEVIU noticiou "PHP2Shell foi explorado 4 dias antes da divulgação, aponta Amazon", com o achado da tentativa de 17 de outubro. O novo ponto é a orientação operacional da Amazon: medir prazos de mitigação em horas, abrir investigações a partir da exploração mais antiga conhecida e investir em detecções que não dependam de assinatura por CVE.

Para quem opera aplicações PHP expostas à internet, a leitura é direta: um SLA de 7 ou 30 dias para falhas críticas parece incompatível com o que a Amazon observou. Também significa que a janela de revisão forense deve começar antes da data do advisory, ao menos em 17 de outubro neste caso. Para a governança, vale priorizar detecção comportamental e inventário de servidores com PHP, já que a assinatura costuma chegar depois do primeiro ataque.