Vulnerabilidades críticas do PHP, conhecidas em conjunto como PHP2Shell, começaram a ser exploradas antes mesmo da divulgação pública das correções. A Amazon Web Services (AWS) identificou uma tentativa de ataque realizada em 17 de outubro, quatro dias antes do anúncio dos patches e da corrida de administradores para proteger sites e aplicativos.
O registro foi encontrado na quarta-feira, quando analistas da AWS revisaram atividades capturadas por um honeypot, servidor propositalmente vulnerável usado para estudar métodos e tendências de ataques. A tentativa partiu de um endereço de IP associado, segundo a empresa, a uma rede comercial de anonimização, como um serviço de proxy ou VPN.
A AWS afirmou que ainda não está claro como o responsável obteve informações suficientes para tentar explorar as falhas antes da divulgação. A análise também não determinou se a investida teria sido bem-sucedida em sistemas reais.
Na quarta-feira, a publicação das correções para as duas vulnerabilidades críticas provocou uma mobilização para localizar e atualizar sistemas afetados. Pesquisadores e equipes de segurança também esperavam que criminosos analisassem os patches para descobrir como explorar os problemas. Alguns governos e outras organizações chegaram a retirar temporariamente sites importantes do ar antes de aplicar as correções, segundo o material analisado.
Nas horas anteriores à divulgação pública, marcada para as 10h no horário do leste dos Estados Unidos, os honeypots da AWS receberam várias tentativas de exploração. Os ataques usaram diferentes provedores de anonimização e pareciam ter objetivos distintos, o que pode indicar a atuação de grupos diferentes.
Explorações de prova de conceito começaram a aparecer publicamente na quarta-feira, algumas aparentemente horas antes do anúncio. A AWS informou que o PHP2Shell já estava sendo amplamente explorado na internet, mas ressaltou que a análise técnica continuava e que não era possível confirmar o êxito das tentativas em sistemas reais.
Janela menor entre correção e ataque
Para a AWS, o episódio mostra que o processo de divulgação coordenada de vulnerabilidades precisa ser mais rápido. A empresa relaciona essa mudança ao acesso global a ferramentas de inteligência artificial, que podem acelerar a análise de falhas e facilitar a criação de explorações por atores com menos conhecimento técnico.
De acordo com a avaliação apresentada por CJ Moses, diretor de segurança da informação da AWS, o intervalo entre a publicação de uma correção e o surgimento de um exploit funcional está diminuindo. Antes, a maior parte dos ataques observados ocorria depois da divulgação pública de uma prova de conceito; agora, mais grupos podem agir em horas ou até minutos após a exposição dos detalhes técnicos.
A PHP Foundation não havia respondido ao pedido de comentário da WIRED até a publicação das informações.
