A AWS afirma que a telemetria do honeypot MadPot registrou uma tentativa de explorar PHP2Shell em 17 de outubro de 2026, quatro dias antes da divulgação pública. A tentativa foi dirigida a um honeypot, um sistema-isca usado para observar atividades suspeitas; a AWS diz que não sabe se ela teria funcionado em servidores reais.
O que a AWS registrou antes da divulgação
O endereço de origem estava associado a uma rede comercial de anonimização, segundo a AWS. Em 21 de outubro, a empresa identificou provas de conceito por volta das 2h UTC e outras tentativas contra o MadPot entre 2h e 8h UTC. A AWS situa a liberação do patch às 14h UTC daquele dia.
A observação de 17 de outubro é um registro de atividade contra o MadPot. A AWS não atribuiu a tentativa a uma pessoa ou grupo específico.
As falhas do PHP e as versões corrigidas
O aviso de segurança do projeto PHP identifica duas falhas críticas, ambas com nota 9,2 no CVSS 4.0, que podem permitir execução remota de código sem autenticação.
A CVE-2026-109618 envolve corrupção por falta de memória: o PHP pode interromper o processamento com dados internos da requisição parcialmente inicializados, que depois podem ser tratados como válidos durante a limpeza. A CVE-2026-109619 envolve estado interno de uma requisição que permanece após a liberação da memória; uma requisição posterior no mesmo processo pode usar esse estado antes de ele ser reinicializado.
O PHP inclui entre as instalações afetadas as que atendem requisições web por PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed. O projeto avalia que mod_php tem o maior risco, pois uma requisição sem autenticação pode acionar o problema antes de o código da aplicação ser executado.
As versões corrigidas listadas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Distribuições e fornecedores de suporte de longo prazo podem retroportar as correções para pacotes com outra numeração. O PHP informa que a versão 8.1 e as anteriores já não recebem atualizações do projeto, embora alguns fornecedores possam oferecer correções retroportadas.
O que outra rede de honeypots observou
A Telekom Security registrou payloads serializados com aparência de exploit em seus próprios sensores a partir das 14h18 UTC de 21 de outubro. Sua cronologia situa o aparecimento dos avisos às 13h34 UTC. Esses registros se referem à rede da Telekom e a 21 de outubro; o evento relatado pela AWS ocorreu no MadPot em 17 de outubro.
O que fazer em servidores PHP
O PHP considera a atualização do runtime a correção completa. Medidas de configuração podem reduzir a exposição a caminhos específicos, mas não substituem a atualização. Para quem administra um site, isso significa identificar a versão do PHP e a integração que atende às requisições; atualizar um CMS ou outra aplicação, por si só, não atualiza o runtime PHP.
A AWS recomenda revisar logs do servidor web, requisições POST que contenham PHP_SESSION_UPLOAD_PROGRESS e sinais de execução inesperada de processos ou alteração de arquivos. Se a atualização imediata não for possível, a empresa sugere considerar restrições temporárias a uploads multipart, avaliando antes o impacto na aplicação.
A AWS também listou seis endereços observados: 103.216.220.92 em 17 de outubro; 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188 e 95.217.98.37 em 21 de outubro. Como a lista inclui infraestrutura de anonimização compartilhada e os endereços não são exclusivos dessa atividade, a AWS recomenda investigar correspondências em vez de bloqueá-las automaticamente.
