PHP2Shell: o que aconteceu nas primeiras 24 horas após a divulgação

Depois que o PHP2Shell (CVE-2026-109618 e CVE-2026-109619) foi divulgado publicamente, a Imperva registrou um aumento acentuado nas tentativas de varredura e exploração.

As primeiras 24 horas de atividade dos atacantes em números: • 482.342 solicitações associadas a tentativas de varredura e/ou exploração. • 122.311 sessões de ataque com uma média de 3,9 solicitações por sessão. • 21.998 recursos visados com uma média de cerca de 22 solicitações por site. • 103 países, onde os recursos visados estavam localizados.

As primeiras informações sobre a vulnerabilidade apareceram em 20 de outubro às 15:20 (UTC), enquanto a Imperva observou as primeiras tentativas de sondagem malsucedidas por volta das 12:00 de 21 de outubro, antes do lançamento do patch oficial às 13:48. Cerca de sete horas após a publicação do patch, a atividade atingiu o pico de 94.870 solicitações por hora, seguida por um segundo pico notável na manhã de 22 de outubro — para aproximadamente 42.000 solicitações por hora.

64,5% dos sites visados estavam localizados nos Estados Unidos, seguidos por Indonésia, Austrália, Alemanha e Brasil. Por setor, os negócios lideraram a lista com 34,3%, seguidos por educação e serviços financeiros.

O nível de automação também merece destaque: cerca de metade das solicitações originou-se de bots e ferramentas conhecidos baseados em bibliotecas HTTP do Go. Isso mostra claramente a rapidez com que ferramentas para varredura em massa surgem após a divulgação de uma vulnerabilidade crítica.

Os ataques começaram antes do lançamento do patch oficial: logo após o aparecimento das informações públicas, scanners automatizados começaram a procurar alvos potenciais. Como resultado, a janela de resposta começa efetivamente quando a vulnerabilidade é divulgada, não quando um patch ou um exploit se torna disponível — e é medida em horas, não em dias.

Vulnerabilidades

Pesquisadores

Fornecedor

Produto