PHP2Shell: campanha chega a algumas centenas de vítimas, estima pesquisador

SecurityWeek relata que os ataques PHP2Shell, ativos há mais de uma semana, obtêm root em firewalls Palo Alto e falham contra WordPress; mais de 22,6 milhões de instâncias expostas seriam potencialmente afetadas.

Pesquisa da Dream atribui a cadeia PHP2Shell a ator suspeito de vínculo com a China, que obteve acesso root em firewalls da Palo Alto para atacar organizações governamentais dos EUA.

Palo Alto Networks e Unit 42 confirmam oficialmente a exploração ativa contra interfaces de gerenciamento do PAN-OS expostas à internet e validam as ferramentas dos atacantes relatadas pela Dream Research.

Pesquisador que analisou o caso aponta que o exploit dos invasores traz offsets para as builds 8.4.18 (incluindo uma variante flen64), 8.4.26, 8.3.35, 8.3.30, 8.3.27 e 8.3.24 do PHP; ele afirma não ter validado a informação.

Pesquisador diz que o ator reutiliza a mesma build já explorada, aparenta usar IA e conduz intrusões completas contra organizações reais com intenção de implantar ransomware.

Discussão no r/netsec divulga nova transmissão ao vivo de invasões que combina a cadeia do PHP com a do decodificador Brotli, sob o rótulo 'php2bitcoin x brotli2coin'.

Pesquisador observa intrusões ativas em tempo real, avalia intenção de implantar ransomware e aponta novas vítimas reais.

Empresas de segurança relatam cerca de seis explorações da cadeia PHP2Shell, incluindo campanha suspeita de origem chinesa que invadiu servidores ligados ao governo dos EUA.

A Palo Alto Networks confirmou os ataques relatados por Dream a interfaces de gerenciamento PAN-OS expostas: menos de 0,01% da base instalada está potencialmente exposta e sistemas corrigidos não são afetados.

Nova discussão relata atividade da cadeia PHP2Shell na rede da Previdian.

CISA determinou que agências federais dos EUA corrijam a falha de elevação de privilégio do kernel Linux encadeada com o PHP2Shell em ataques reais.

Palo Alto Networks confirma exploração ativa das falhas PHP2Shell contra interfaces de gerenciamento expostas à internet.

CISA adicionou a CVE-2026-46300, do kernel Linux, ao KEV como componente da mesma cadeia de ataque das falhas de PHP.

Pesquisadores detalham o ataque: observado em 25 de outubro, aparentemente assistido por IA, combinou PHP2Shell com escalada de privilégio no kernel e atingiu rede ligada ao governo dos EUA.

Novo relatório amplia o alcance da campanha: 25 servidores comprometidos com root em quatro países, incluindo três em ambiente ligado ao governo dos EUA, com movimento lateral até o Active Directory.

Pesquisador relata que a falha PHP2Shell original foi descoberta e explorada com auxílio do modelo de IA GPT 5.6-Sol, e que pesquisador da Wiz a replicou com outro modelo.

Pesquisador relata captura de exploração do PHP2Shell em honeypot deliberadamente exposto, reforçando a atividade ativa já confirmada.

Pesquisa nova detalha ataques de grupo ligado à China que encadeou PHP2Shell com Fragnesia e comprometeu dois servidores de uma organização ligada ao governo dos EUA.

Ator afirma ter invadido a Barista, rede de cafés do Sri Lanka com mais de 100 lojas, explorando essas falhas do PHP para execução remota de código sem autenticação em servidor desatualizado.

CISA confirma exploração ativa das falhas PHP2Shell e lista as configurações afetadas: PHP-FPM, Apache com mod_php, php-cgi, FrankenPHP e LiteSpeed.

CISA e pesquisadores de segurança confirmam exploração bem-sucedida das falhas do PHP, depois que os alertas iniciais de ameaça demoraram a se materializar.

Cobertura da TechCrunch destaca que o PHP roda em cerca de 70% do software da web após o alerta de exploração pelo governo dos EUA.

CISA relata tentativas de exploração das falhas do PHP, sem detalhar o tipo de atividade observada.

Imperva registra 482.342 requisições de varredura e tentativas de exploração e 122.311 sessões de ataque nas primeiras 24 horas após a divulgação das falhas PHP2Shell.

Post em rede social associa as falhas ao apelido PHP2Shell e credita a pesquisa à Wiz Research.

Pesquisador publica benchmark em cenário realista com nginx e Apache mod_php (PHP 8.4.26), medindo as taxas de sucesso do vazamento de memória e da execução de comandos mesmo com tráfego benigno simultâneo.

Demonstração pública mostra o PHP2Shell dando shell em MediaWiki, Symfony, Laravel e phpBB rodando PHP 8.2 a 8.5 sem correção.

Incidente aberto.

CISA adiciona as duas falhas PHP2Shell (CVSS 9.2), que permitem execução remota de código sem autenticação, ao catálogo KEV e confirma exploração ativa.

CISA adiciona as duas falhas PHP ao catálogo KEV após confirmar exploração ativa.

Falhas batizadas de PHP2Shell continuam em evidência; a XBow afirma identificar versões vulneráveis do PHP e demonstrar execução real de código nos alvos exploráveis.

Time ofensivo da XBow afirma demonstrar execução real de código em versões vulneráveis do PHP, dependendo da configuração do alvo.

CISA adicionou as duas falhas (CVE-2026-109618 e CVE-2026-109619) ao catálogo KEV em 26 de outubro de 2026, oficializando a designação de exploradas; correção disponível no PHP 8.5.12, com mod_php apontado como o maior risco demonstrado.

CISA adiciona as falhas CVE-2026-109618 e CVE-2026-109619 ao catálogo KEV, confirmando exploração ativa; o prazo federal para aplicar mitigações é 29 de outubro de 2026.

Delft Threat Intelligence Lab relata cerca de 54,9 mil tentativas de exploração contra honeypots desde 21 de outubro, de 608 IPs em 70 países, com 171 IPs entregando código ou droppers.

Pesquisador destaca a publicação do primeiro exploit público robusto (php2shell) que transforma a falha em shell remoto.

Pesquisador relata exploração bem-sucedida da falha (PHP2Shell) em honeypots, com invasores executando comandos de shell para baixar cargas adicionais; nenhuma segunda etapa foi recuperada até agora.

Unit 42 relata que as tentativas de exploração das falhas PHP2Shell continuam, junto com varredura global suspeita de atividade da Coreia do Norte, e retirou sua avaliação anterior de que o ataque a uma agência governamental europeia envolvia essas falhas.

Desafio público deixou US$ 2.000 em bitcoin em servidor com a falha e, após mais de 20 horas, ninguém conseguiu executar o exploit, apenas derrubar o servidor.

TechCrunch publica retrospectiva sobre as duas falhas críticas do PHP e o risco que representaram para a web.

Relatório detalha ataque da campanha PHP2Shell a uma entidade governamental europeia, com segredos MFA e hashes de senha acessados em 2 horas, sinais de uso de IA agêntica na pós-exploração e operadores com suspeito vínculo ao Lazarus escaneando 216 alvos; desafio público com recompensa em Bitcoin e

Pesquisador relata exploração confirmada do RCE do PHP (php2shell), e testes mostram que a falha também é explorável atrás de proxies reversos como o do Google Cloud Run.

Unit 42 relata exploração ativa das duas falhas, com IA agêntica na pós-exploração e caso em governo europeu; zerodayalpha valida os bugs e lista as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

Siemens, Schneider Electric, ABB e outros fornecedores industriais confirmam produtos afetados pelas falhas PHP2Shell.

Desafio público confirma a explorabilidade na prática: um pesquisador explorou as falhas 'PHP2Shell' em um servidor deliberadamente vulnerável e extraiu uma chave privada após cerca de 19 horas, recebendo o prêmio do desenvolvedor.

JPCERT atualiza o aviso com versões corrigidas do PHP e backports de Ubuntu, Red Hat e Peplink.