Administradores que correm para corrigir duas vulnerabilidades críticas do PHP enfrentam um detalhe preocupante: as tentativas de exploração parecem ter começado antes da divulgação pública.
A Amazon Web Services encontrou um ataque datado de 17 de outubro ao revisar a atividade registrada por um sistema exposto à internet e deliberadamente vulnerável. As correções públicas para as vulnerabilidades, chamadas coletivamente de PHP2Shell, foram lançadas em 21 de outubro.
Atividade antes da divulgação
Honeypots são sistemas configurados para parecer vulneráveis, permitindo que defensores observem técnicas de ataque. Segundo a AWS, a tentativa de 17 de outubro veio de um endereço IP associado a uma rede comercial de anonimização, como proxy ou VPN.
A AWS não conseguiu determinar como o invasor obteve informações sobre as vulnerabilidades antes da divulgação.
A exploração agora é mais ampla
Depois que as correções ficaram disponíveis, começaram a surgir exploits públicos de prova de conceito. A AWS afirma que alguns apareceram horas antes da divulgação pública programada.
A empresa avalia que o PHP2Shell já é amplamente explorado na internet, embora a análise técnica continue.
O que a descoberta estabelece
As evidências não identificam os responsáveis pela atividade de 17 de outubro, nem confirmam se houve sucesso ou como as informações foram obtidas. Elas confirmam que a AWS registrou uma tentativa contra um honeypot antes da divulgação pública.
As equipes de segurança devem identificar implantações PHP afetadas, aplicar as correções e investigar sinais de exploração.
Uma lição sobre a urgência dos patches
A divulgação pública não marca o início do risco; muitas vezes marca o momento em que o risco se torna visível para mais defensores e invasores. Os relatos sobre PHP2Shell mostram que a exploração pode começar antes.
A AWS diz que a exploração já é disseminada, tornando a aplicação de patches e a investigação prioridades imediatas.
Este artigo é baseado em reportagem da Wired. Leia o artigo original.
Originally published on wired.com