Uma corrida urgente para corrigir duas vulnerabilidades críticas no PHP, linguagem de script amplamente usada na web, revelou que os ataques já haviam começado dias antes do anúncio oficial. Detalhes publicados na quarta-feira indicam que pelo menos um grupo tentou explorar as falhas, agrupadas sob o nome PHP2Shell, já no dia 17 de outubro, quatro dias antes da revelação pública.

Os pesquisadores da Amazon Web Services (AWS) descobriram a atividade de exploração do dia 17 enquanto revisavam dados de uma de suas armadilhas de segurança, servidores deliberadamente vulneráveis usados para estudar métodos de ataque. A tentativa de acesso partiu de um endereço IP ligado a uma rede de anonimato comercial, como redes proxy ou VPN, segundo a AWS.

CJ Moses, chefe de segurança da informação da AWS, destacou que a exploração ocorreu durante o período de sigilo da vulnerabilidade, o que indica que um ator ameaçador já tinha acesso à informação antes da divagação pública. No entanto, permanece incerto como essa informação foi obtida.

A Executiva Diretora da Fundação PHP, Elizabeth Barron, informou que a organização não tinha conhecimento da pesquisa da AWS antes da publicação e não fez comentários iniciais sobre as descobertas. Ela acrescentou que, embora a atualização seja absolutamente imperativa, não houve tentativas conhecidas de execução de código remoto com sucesso.

Conceitos de prova para as falhas do PHP2Shell começaram a aparecer publicamente na quarta-feira, alguns deles surgindo horas antes do horário oficial de revelação, às 10h ET. Nos momentos que antecederam o anúncio, os honeypots da AWS foram alvo de múltiplas tentativas de exploração, usando vários provedores de anonimato e com objetivos aparentemente diferentes, sugerindo a atuação de diversos atores.

Moses ressaltou que a análise técnica ainda está em andamento e é incerto se alguma dessas tentativas teria sucesso em sistemas reais. Ele acrescentou que o PHP2Shell está sendo amplamente explorado no campo, indicando que as vulnerabilidades já são alvo de ataques generalizados.

Embora não seja claro como a exploração do dia 17 ocorreu ou de onde surgiu, a AWS enfatiza que os resultados mostram a necessidade de evoluir e acelerar o processo de divulgação coordenada de vulnerabilidades. Isso é especialmente relevante diante do acesso global a ferramentas de IA que aceleram a análise de falhas e permitem a atores menos técnicos desenvolverem explotes rapidamente.

“O tempo entre o patch e o explote funcional está encolhendo por razões estruturais”, escreveu Moses. No passado, a maioria das explorações ocorria após a publicação de um conceito de prova. Poucos atores capazes criavam explotes, e o resto aguardava. Essa dependência está enfraquecendo. A análise assistida por IA torna mais barato transformar um patch ou aviso em um explote funcional. Como resultado, mais atores podem agir em horas ou até minutos após a revelação dos técnicos de uma vulnerabilidade.

Com informações de: Wired Security