---
title: "Atores maliciosos tentaram explorar falhas no PHP quatro dias antes da correção"
url: https://dailyjournal.news/news/2026-10-22/hackers-exploraram-falhas-criticas-no-php-antes-de-correcao-oficial
published: 2026-10-22T20:45:33.616691+00:00
updated: 2026-10-23T08:32:01.224+00:00
categories: ["technology"]
topics: ["openai"]
source_count: 2
outlet_count: 0
language: pt-BR
publisher: "Daily Journal"
---

# Atores maliciosos tentaram explorar falhas no PHP quatro dias antes da correção

A Amazon detectou tentativas de exploração das falhas do PHP a partir de 17 de outubro, quatro dias antes da divulgação, e novas provas de conceito surgiram horas após a correção.

## Pontos principais

- A Amazon detectou uma tentativa de exploração das falhas CVE-2026-109618 e CVE-2026-109619 em 17 de outubro, no seu honeypot MadPot.
- A correção foi liberada em 21 de outubro, às 14h UTC, com o fim do embargo; entre 2h e 8h UTC daquele dia, a Amazon viu várias provas de conceito e tentativas de múltiplos atores.
- A Amazon não confirma invasões bem-sucedidas e diz que não está claro se alguma tentativa funcionaria em sistemas reais.
- Atualizar para PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 é a única correção completa; nenhuma configuração cobre as duas falhas.
- Para servidores sem atualização imediata, a Amazon sugere bloquear uploads em múltiplas partes, após avaliar o impacto na aplicação.
- A Amazon recomenda investigar registros desde 17 de outubro, procurando requisições POST com a string PHP_SESSION_UPLOAD_PROGRESS em uploads de formulário.

A Amazon diz que a tentativa de 17 de outubro, dirigida a um honeypot e vinda de uma rede de anonimização comercial, sugere um agente de ameaça. Ainda não está claro como esse agente obteve informações sobre a falha durante o embargo. Para a empresa, a data da divulgação pública não é necessariamente a primeira data de exploração.

Para a Amazon, a análise assistida por IA barateou a transformação de um patch em exploit funcional. Antes, a maior parte da exploração vinha depois de uma prova de conceito pública, feita por poucos atores capazes. Agora, mais grupos podem agir em horas, ou minutos, após a divulgação técnica, e a empresa recomenda medir o prazo de correção de falhas críticas em sistemas expostos à internet em horas, não em dias.

## Fontes

- [OpenAI e Google Usam Tecnologia para Identificar Falhas Graves em Software da Web](https://forbes.com.br/forbes-tech/2026/10/openai-e-google-usam-tecnologia-para-identificar-falhas-graves-em-software-da-web/) (2026-10-23)
- [Falhas críticas no PHP já eram exploradas por hackers antes de correção](https://canaltech.com.br/seguranca/falhas-criticas-no-php-ja-eram-exploradas-por-hackers-antes-de-correcao/) (2026-10-22)

## Tópicos relacionados

- [OpenAI](https://dailyjournal.news/topics/openai)

---

Publicado por Daily Journal. Versão HTML: https://dailyjournal.news/news/2026-10-22/hackers-exploraram-falhas-criticas-no-php-antes-de-correcao-oficial