Amazon detecta tentativa de explorar falhas do PHP quatro dias antes dos patches

PHP programou uma atualização emergencial para duas vulnerabilidades críticas em 21 de outubro, às 14h UTC (11h de Brasília).

A atualização é o acontecimento central e tem horário definido para a divulgação das correções.

A equipe de segurança do PHP atribuiu às duas vulnerabilidades nota 9,2 no CVSS v4.0.

A classificação informa a gravidade atribuída oficialmente pelo projeto, distinta da nota divulgada em um vazamento.

Relatos externos ao aviso inicial do PHP dizem que as falhas permitem execução remota de código.

A capacidade de execução remota foi atribuída a pesquisadores e reportagens, não aos detalhes técnicos publicados pelo PHP.

O aviso inicial do PHP não divulgou os detalhes técnicos nem as versões afetadas; a publicação integral foi prevista junto com as atualizações.

Sem essas informações, usuários ainda não podiam confirmar o impacto específico nem quais versões seriam corrigidas.

A PHP lançou correções para as duas falhas nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

As versões corrigidas permitem que administradores identifiquem quais atualizações instalar para fechar as vulnerabilidades.

As falhas estão no runtime do PHP, e não no código das aplicações que usam a linguagem.

A localização das vulnerabilidades significa que aplicações podem estar expostas mesmo sem falhas no próprio código.

Pesquisadores da Wiz e da OpenAI encontraram e reportaram as vulnerabilidades.

A identificação das falhas envolveu pesquisadores de duas organizações de tecnologia.

O risco é maior em servidores que usam Apache mod_php, nos quais uma única solicitação sem autenticação pode disparar o ataque antes da execução do código da aplicação.

Essa configuração pode permitir que um invasor explore a falha sem precisar de uma conta ou de uma vulnerabilidade na aplicação.

Atacantes tentaram, sem sucesso, explorar as vulnerabilidades PHP2Shell para infectar sistemas com uma variante da botnet Mirai chamada Potassium.

As tentativas indicam que as falhas já estão sendo usadas em ataques, embora a campanha descrita não tenha conseguido infectar os sistemas.

Um vídeo publicado por uma empresa de segurança mostrou uma prova de conceito das vulnerabilidades contra vários alvos, e cópias continuaram circulando após a remoção do vídeo.

A circulação da prova de conceito contribuiu para acelerar o desenvolvimento e a disseminação de ferramentas de exploração.

A Amazon Threat Intelligence identificou uma tentativa de exploração das vulnerabilidades PHP2Shell em 17 de outubro, quatro dias antes da publicação dos patches.

A tentativa anterior às correções indica que os ataques podem ter começado antes da divulgação pública das falhas.

Pesquisadores da Cloudflare observaram dezenas de milhares de tentativas de exploração em 45 minutos após a divulgação pública das falhas, centenas de milhares em duas horas e milhões até 22 de outubro.

O volume de tentativas cresceu rapidamente após a divulgação das vulnerabilidades.

Em 23 de outubro, mais de 34,4 milhões de serviços PHP ainda executavam versões vulneráveis, segundo a Censys.

A quantidade de serviços desatualizados mostra que a exposição persistia após a publicação das correções.

Governos, hospitais e escolas em regiões da Ásia, Europa e América do Norte tiraram serviços do ar preventivamente enquanto aguardavam a correção.

A resposta preventiva interrompeu serviços para reduzir a exposição às vulnerabilidades.