A Amazon Threat Intelligence afirmou que o MadPot, sua rede de honeypots, registrou uma tentativa de exploração do PHP2Shell em 17 de outubro de 2026, quatro dias antes da divulgação pública das vulnerabilidades e do lançamento das correções, em 21 de outubro. Honeypots são sistemas-isca usados para atrair e observar atividades. A AWS disse que a tentativa partiu de um endereço IP associado a uma rede comercial de anonimização e que não foi possível determinar se teria funcionado em sistemas reais.
O que a AWS registrou em 17 de outubro
A observação do MadPot foi uma tentativa contra um honeypot. A AWS recomendou que as equipes de segurança investigassem possíveis sinais de PHP2Shell a partir de 17 de outubro, em vez de começar a busca apenas na data da divulgação pública.
A AWS também informou que os endereços IP listados em seu relato incluem infraestrutura de anonimização compartilhada e não são exclusivos dessa atividade. A recomendação é investigar conexões associadas a esses endereços, não bloqueá-los automaticamente.
Sinais para revisar nos registros
A AWS indicou quatro tipos de atividade para a busca retrospectiva:
| Sinal | O que revisar |
| Requisições HTTP POST | Envios de formulário que contenham PHP_SESSION_UPLOAD_PROGRESS |
| Atividade do servidor web | Registros de ações suspeitas nos logs do servidor |
| Execução de processos | Processos iniciados de forma inesperada em servidores de aplicações web |
| Alterações em arquivos | Modificações inesperadas nos arquivos desses servidores |
Vulnerabilidades e versões corrigidas
PHP2Shell reúne duas vulnerabilidades críticas que, em determinadas condições, podiam permitir a execução remota de código sem autenticação em servidores PHP. A CVE-2026-109618 está ligada a corrupção de memória por falta de memória; a CVE-2026-109619, a um estado global obsoleto e ao uso de memória já liberada.
A PHP Foundation informou que as correções foram publicadas em 21 de outubro nas versões PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 e PHP 8.2.35. A NeoTeo já detalhou as versões do PHP que corrigem as duas falhas.
Como a divulgação avançou depois da tentativa
Os identificadores CVE começaram a circular em fóruns e redes sociais por volta das 15h UTC de 20 de outubro, sem detalhes técnicos, segundo a PHP Foundation. Às 19h30 UTC, o projeto publicou um pré-anúncio e antecipou o lançamento previsto para 22 de outubro às 14h UTC: as correções saíram em 21 de outubro, às 14h UTC.
Por volta das 20h UTC de 20 de outubro, a empresa de segurança Calif publicou por engano um vídeo com uma demonstração limitada de prova de conceito. A PHP Foundation também disse que orientações de mitigação enviadas a alguns provedores de infraestrutura crítica por volta das 23h UTC podem ter vazado. Na manhã seguinte, às 7h41 UTC, a Chainguard publicou imagens compiladas com a correção, mais de seis horas antes do lançamento coordenado do PHP.
