Falhas avaliações no PHP ja eram exploradas por hackers antes de correção

As duas falhas avaliações de segurança do PHP, que colocaram milhoes de sites em alerta nesta semana, ja eram alvo de tentativas de exploracao por hackers desde 17 de outubro, quatro dias antes da divulgacao das correções. A descoberta foi feita pela Amazon Web Services (AWS), que identificou atividades suspeitas em seus sistemas de monitoramento. Segundo informacoes divulgadas pela Wired nesta quinta-feira (22), os ataques iniciaram antes msm do leak de informacoes a respeito de as vulnerabilidades, acontecido na terça-feira (20).

A descoberta representa um novo desdobramento do alerta global de segurança causado pelas falhas no PHP. As duas brechas, identificadas como CVE-2026-109618 e CVE-2026-109619, receberam classificacao de gravidade de 9,2 em uma escala de 0 a 10. Apesar das tentativas registradas, ainda nao há confirmacao de invasões exitosas.

À Wired, a PHP Foundation, organizacao que respalda o desenvolvimento da linguagem, declarou nao ter conhecimento de casos em que invasores conseguiram executar codigos maliciosos remotamente utilizando as vulnerabilidades. Como os hackers exploraram as falhas antes da correção? A Amazon identificou os primeiros ataques ao analizar registros de sua rede MadPot, formada por servidores-isca, conhecidos como honeypots (potes de mel, em ingles).

Esses sistemas são utilizados pra atrair tentativas de invasão e possibilitar que pesquisadores acompanhem as técnicas empregadas por criminosos. O primeiro registro, de 17 de outubro, partiu de um endereço IP associado a um serviço comercial de anonimização, como uma rede de proxies ou VPN. Segundo CJ Moses, diretor de segurança da AWS, a utilização desse tipo de infraestrutura pra tentar explorar uma vulnerabilidade ainda mantida em sigilo aponta uma possivel atividade criminosa.

Contudo, os pesquisadores nao conseguiram definir como o responsável pelo ataque dropou informacoes a respeito de a falha antes da divulgacao pública. A situação se intensificou em 21 de outubro. A Amazon identificou novas tentativas apartir das 2h UTC, equivalentes às 23h de terça-feira (20) no horario de Brasília, cerca de 12 horas antes da liberação das correções.

Nas seis horas seguintes, outros ataques partiram de diferentes serviços de anonimização e utilizaram codigos maliciosos distintos. Pra os pesquisadores, as diferenças sugerem a atuacao de múltiplos grupos ou indivíduos, ainda que ainda nao seja possivel identificar os responsáveis. Milhoes de tentativas de invasão apos divulgacao