Falhas críticas no PHP foram exploradas dias antes do patch, diz Amazon
A Amazon detectou tentativas de exploração das falhas do PHP dias antes da correção. A PHP Foundation afirma que detalhes vazaram antes do patch oficial.
Foto: Anna Shvets (Pexels)
Hackers tentaram explorar falhas críticas na linguagem de programação PHP dias antes da correção oficial, segundo relatório da Amazon Threat Intelligence citado pela The Verge. A PHP Foundation afirma que detalhes dos bugs vazaram antes de o patch ser publicado.
Na quarta-feira, sites em todo o mundo correram para aplicar a atualização contra duas vulnerabilidades que poderiam permitir execução remota de código malicioso. A diretora-executiva da fundação, Elizabeth Barron, disse à The Verge que, ao conhecimento da entidade, não houve tentativa bem-sucedida de execução remota de código — mas que atualizar os sistemas afetados é “imperativo”.
O que aconteceu
De acordo com a The Verge, CJ Moses, diretor de segurança da informação da Amazon, relatou que a equipe de segurança da companhia identificou uma tentativa de exploração chamada PHP2Shell em 17 de outubro, por meio de um sistema de monitoramento pensado para atrair invasores — o chamado honeypot. A reportagem aponta que Wired e Bleeping Computer já haviam tratado do episódio.
As falhas — identificadas como CVE-2026-109618 e CVE-2026-109619 — afetam o PHP, linguagem usada por grande parte da internet, inclusive em sites WordPress. Na quarta-feira, administradores de sites se apressaram para aplicar o patch das duas vulnerabilidades críticas.
A The Verge registra que a PHP Foundation já havia teorizado o bug em 2024. A equipe de segurança chegou a soluções potenciais, mas a correção atrasou por risco de quebras de compatibilidade com versões anteriores, possível potencial de negação de serviço e a necessidade de mudanças em muitas extensões de terceiros, descritas como difíceis de coordenar.
Enquanto a fundação se preparava para lançar o conserto nesta semana, detalhes sobre as falhas começaram a circular em fóruns e nas redes sociais. Algumas empresas de segurança publicaram informações antes do anúncio oficial. O relatório da Amazon Threat Intelligence, porém, sugere que um ator malicioso pode ter identificado a vulnerabilidade ainda antes desses vazamentos.
Moses escreveu que, com a falha ainda sob embargo, o alvo a um honeypot a partir de um endereço IP anonimizado aponta para atividade de um ator de ameaça — embora continue pouco claro como esse ator obteve informações da exploração antes da divulgação. A Amazon Threat Intelligence também detectou outras tentativas de exploração em 21 de outubro, nas horas que antecederam o lançamento do patch.
Em resposta, a PHP Foundation afirmou à The Verge estar confiante de que uma vulnerabilidade grave com correção presa em trade-offs difíceis chegaria mais cedo à liderança, pois está mudando processos para que a direção ajude a conduzir a situação a uma resolução tempestiva. A entidade diz priorizar medidas para que falhas que exigem consertos igualmente complexos sejam resolvidas com mais rapidez no futuro.
O que isso pode mudar
O episódio pode reforçar a pressão por ciclos mais curtos entre descoberta, embargo e correção em projetos de código aberto de grande escala. Se detalhes sensíveis voltam a circular antes do patch — ou se atores maliciosos já testam exploits ainda sob embargo —, janelas de exposição como a descrita pela Amazon tendem a se tornar um risco operacional mais explícito para empresas que dependem do PHP.
Na prática, o alerta da Amazon e o discurso da PHP Foundation sugerem que processos internos de priorização e de coordenação com extensões de terceiros podem ganhar peso. Para quem opera sites e aplicações na linguagem, a mensagem de Barron aponta para atualização imediata como medida central, mesmo na ausência — até o momento, segundo a fundação — de exploração bem-sucedida de execução remota de código.
No médio prazo, o caso também pode influenciar como fornecedores de segurança e a própria comunidade lidam com a divulgação parcial em fóruns e redes: o equilíbrio entre transparência e contenção do risco, já tensionado nesta semana, deve voltar ao centro do debate sempre que falhas críticas tocarem uma base tão ampla quanto a do PHP.
Fontes: The Verge
Leia mais em: www.mundodosnegocio.com.br