A corrida frenética para corrigir duas falhas críticas de segurança na linguagem de script PHP aconteceu tarde demais para impedir alguns ataques. Segundo detalhes divulgados recentemente, pesquisadores apontam que os problemas já haviam sido explorados dias antes da publicação oficial das correções.
Ataques antes da revelação
De acordo com informações publicadas pela Amazon Web Services (AWS), pelo menos um ator malicioso tentou explorar as falhas, chamadas coletivamente de PHP2Shell, em 17 de outubro. A tentativa ocorreu quatro dias antes das revelações públicas e da disponibilização dos patches de segurança na quarta-feira.
Analistas da AWS identificaram a atividade ao revisar registros de seus honeypots, que são servidores web vulneráveis mantidos intencionalmente para estudar tendências de ataques. A investida partiu de um endereço IP associado a uma rede comercial de anonimização, como uma VPN ou proxy.
Impacto e resposta da fundação
CJ Moses, diretor de segurança da informação da AWS, destacou que a segmentação de um honeypot a partir de um IP anonimizado sugere a ação de um agente de ameaças, embora permaneça incerto como os detalhes foram obtidos antes da divulgação oficial. Por sua vez, Elizabeth Barron, diretora executiva da Fundação PHP, afirmou que a organização não tinha conhecimento prévio da pesquisa e declarou que, até onde sabem, não houve tentativas bem-sucedidas de execução remota de código.
Após a divulgação pública na quarta-feira, explorações de prova de conceito começaram a surgir e o PHP2Shell passou a ser amplamente explorado de forma generalizada. Especialistas alertam que o tempo entre a disponibilização de um patch e a criação de exploits funcionais está diminuindo, impulsionado pelo uso de ferramentas de inteligência artificial que facilitam a análise de vulnerabilidades.
Fonte: Hackers Exploited the PHP Vulnerabilities Days Before They Were Patched
