A Amazon Threat Intelligence revelou que atacantes já estavam a sondar uma falha crítica no PHP, apelidada de PHP2Shell, dias antes de os responsáveis pelo software lançarem uma correção. A descoberta, resultante da rede de honeypots MadPot da Amazon, antecipa o início conhecido da exploração e complica os esforços das equipas de segurança para determinar quando os seus próprios sistemas ficaram expostos pela primeira vez.

Segundo a Amazon, as primeiras tentativas de exploração foram detetadas a 17 de outubro de 2026, quatro dias antes de o PHP ter lançado as correções oficiais a 21 de outubro. O ataque inicial foi realizado através de um endereço IP mascarado por uma rede comercial de anonimato, o que tem dificultado a atribuição. A vulnerabilidade está catalogada sob dois identificadores, CVE-2026-109618 e CVE-2026-109619, e tem uma pontuação de gravidade de 9,2 em 10. Permite a execução remota de código e afeta todas as versões do PHP a partir da versão 5, colocando centenas de milhares de servidores em todo o mundo em risco teórico.

CJ Moses, Chief Information Security Officer da Amazon, supervisiona o esforço de inteligência de ameaças que identificou a atividade precoce. Separadamente, a empresa de segurança watchTowr confirmou exploração ativa através da sua própria rede de monitorização, Attacker Eye, com início a 21 de outubro, o dia em que a correção foi tornada pública. Exploits de prova de conceito começaram a circular publicamente apenas algumas horas depois de a correção ter sido lançada, às 14h00 UTC, deixando às equipas de defesa uma janela estreita para aplicar correções antes de o código funcional se tornar amplamente disponível.

Uma cronologia revista para as equipas de defesa

O intervalo de quatro dias entre a primeira exploração e o lançamento da correção é o pormenor que mais preocupa as equipas de segurança. Investigações que assumiam que os sistemas estavam seguros até 21 de outubro precisam agora de ser reabertas para cobrir os dias anteriores, um processo mais lento e dispendioso quando os registos já envelheceram ou saíram das janelas de retenção.

Para os operadores europeus, incluindo empresas que gerem infraestruturas ligadas a bitcoin construídas sobre PHP, a cronologia revista é relevante porque significa que qualquer avaliação de compromisso ancorada apenas na data da correção não detetaria a atividade mais precoce. Dada a presença generalizada do PHP em serviços web, corretoras, ferramentas de custódia e sistemas administrativos que tocam operações de criptomoedas em toda a Europa, a questão prática para muitas equipas deixa de ser se aplicaram a correção a tempo, e passa a ser se estão a olhar suficientemente para trás no tempo.

Charles Guillemet, Chief Technology Officer da Ledger, ocupa um cargo que o coloca entre as figuras do setor que acompanham este tipo de risco de infraestrutura, sublinhando que a exposição se estende para além do alojamento web convencional, chegando a ambientes próximos da custódia de ativos digitais.

A Amazon e a watchTowr não revelaram como detalhes antecipados da falha poderão ter chegado aos atacantes antes da correção pública, e não foram divulgados mais pormenores sobre a dimensão dos compromissos confirmados.