Resumo
AWS identificou tentativa de explorar o PHP2Shell em 17 de outubro, quatro dias antes da divulgação pública das falhas.
Novas tentativas apareceram horas antes do lançamento das correções e partiram de diferentes infraestruturas.
PHP Foundation afirma que ainda não há confirmação de ataque bem-sucedido com execução remota de código.
As duas vulnerabilidades críticas do PHP divulgadas ontem (21/10) estavam sob tentativa de ataque há quatro dias. A Amazon Web Services (AWS) identificou a primeira atividade suspeita em 17 de outubro, durante a análise de seus sistemas de monitoramento.
As falhas, conhecidas como PHP2Shell, permitem que invasores tentem executar código remotamente em servidores vulneráveis e receberam nota 9,2 de 10 em gravidade, levando empresas e órgãos públicos a correr para atualizar sistemas.
Quando começaram as tentativas de ataque?
A AWS identificou a primeira tentativa a partir de um endereço IP associado a um serviço comercial de anonimização. Segundo a Amazon, o comportamento indica uma provável ação maliciosa, mas ainda não está claro como o responsável obteve informações sobre a vulnerabilidade antes da divulgação pública.
A situação se intensificou nessa quarta-feira. A AWS identificou diferentes provas e novas tentativas de exploração vindas de outras infraestruturas. Os códigos e serviços utilizados variavam, o que sugere a participação de vários agentes.
