As duas falhas críticas de segurança do PHP, que colocaram milhões de sites em alerta, já eram alvo de tentativas de exploração por hackers desde 17 de outubro, quatro dias antes da divulgação das correções. A Amazon Web Services (AWS) fez essa descoberta ao identificar atividades suspeitas em seus sistemas de monitoramento.
As brechas, classificadas como CVE-2026-109618 e CVE-2026-109619, receberam uma gravidade de 9,2 em uma escala de 0 a 10. Apesar das tentativas registradas, não há confirmação de invasões bem-sucedidas até o momento. A PHP Foundation afirmou não ter conhecimento de casos em que invasores conseguiram executar códigos maliciosos remotamente utilizando as vulnerabilidades.
Atividades suspeitas e tentativas de exploração
A Amazon identificou os primeiros ataques ao analisar registros de sua rede MadPot, formada por servidores-isca. O primeiro registro, datado de 17 de outubro, partiu de um endereço IP associado a um serviço de anonimização. Segundo CJ Moses, diretor de segurança da AWS, esse tipo de infraestrutura indica uma possível atividade criminosa.
A situação se intensificou em 21 de outubro, com novas tentativas a partir das 2h UTC, aproximadamente 12 horas antes da liberação das correções. As tentativas partiram de diferentes serviços de anonimização e utilizaram códigos maliciosos distintos, sugerindo a atuação de múltiplos grupos. Contudo, ainda não é possível identificar os responsáveis.
Crescimento das tentativas de invasão
Após a divulgação das falhas, o número de ataques cresceu rapidamente. A Cloudflare registrou milhares de tentativas de exploração nas dez horas anteriores ao anúncio oficial. O volume aumentou para centenas de milhares em duas horas, com a quantidade acumulada já ultrapassando a marca dos milhões de tentativas.
A Cloudflare também observou invasores modificando os códigos utilizados nos ataques para contornar seus mecanismos de proteção. Apesar do volume de tentativas, é importante ressaltar que esses números não significam que milhões de sites tenham sido comprometidos.
Recomendações e preocupações futuras
A AWS recomenda que administradores de sites verifiquem se seus sistemas foram comprometidos desde 17 de outubro, e não apenas após a liberação das correções. Entre os sinais a serem investigados estão requisições suspeitas e alterações desconhecidas em arquivos.
Embora a aplicação das correções impeça a exploração das vulnerabilidades, não desfaz alterações realizadas por invasores anteriormente. Além disso, a AWS alerta que o avanço da inteligência artificial pode reduzir o intervalo entre a divulgação de uma falha e o desenvolvimento de ferramentas capazes de explorá-la.
Opinião
A situação evidencia a necessidade urgente de reforçar a segurança em sistemas que utilizam PHP, dado seu uso em quase 70% dos sites com tecnologia de servidor conhecida.
