Atores maliciosos tentaram explorar falhas no PHP quatro dias antes da correção
A Amazon detectou tentativas de exploração das falhas do PHP a partir de 17 de outubro, quatro dias antes da divulgação, e novas provas de conceito surgiram horas após a correção.
Pontos principais
- A Amazon detectou uma tentativa de exploração das falhas CVE-2026-109618 e CVE-2026-109619 em 17 de outubro, no seu honeypot MadPot.
- A correção foi liberada em 21 de outubro, às 14h UTC, com o fim do embargo; entre 2h e 8h UTC daquele dia, a Amazon viu várias provas de conceito e tentativas de múltiplos atores.
- A Amazon não confirma invasões bem-sucedidas e diz que não está claro se alguma tentativa funcionaria em sistemas reais.
- Atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 é a única correção completa; nenhuma configuração cobre as duas falhas.
- Para servidores sem atualização imediata, a Amazon sugere bloquear uploads em múltiplas partes, após avaliar o impacto na aplicação.
- A Amazon recomenda investigar registros desde 17 de outubro, procurando requisições POST com a string PHP_SESSION_UPLOAD_PROGRESS em uploads de formulário.
A Amazon diz que a tentativa de 17 de outubro, dirigida a um honeypot e vinda de uma rede de anonimização comercial, sugere um agente de ameaça. Ainda não está claro como esse agente obteve informações sobre a falha durante o embargo. Para a empresa, a data da divulgação pública não é necessariamente a primeira data de exploração.
Para a Amazon, a análise assistida por IA barateou a transformação de um patch em exploit funcional. Antes, a maior parte da exploração vinha depois de uma prova de conceito pública, feita por poucos atores capazes. Agora, mais grupos podem agir em horas, ou minutos, após a divulgação técnica, e a empresa recomenda medir o prazo de correção de falhas críticas em sistemas expostos à internet em horas, não em dias.