Atacantes do PHP2Shell tentam criar botnet de DDoS Potassium, mas falham até agora
- Os atacantes estão tentando usar o PHP2Shell para instalar a botnet DDoS Potassium derivada do Mirai.
- Os pesquisadores observaram tentativas generalizadas de exploração, mas nenhuma comprometimento em massa confirmado publicamente até 23 de outubro.
- Explorações em produção agora existem, aumentando a pressão sobre os administradores para corrigir instalações vulneráveis do PHP.
“viável e muito sério.”
— John Hultquist, Google, citado por The Record.
Por que uma botnet DDoS preocupa operadores de hospedagem e criptomoedas
A ameaça mais ampla já é substancial. A Cloudflare registrou 935 ataques DDoS superiores a 1 terabit por segundo durante o primeiro semestre de 2026.
Esses ataques não foram atribuídos à Potassium. Ainda assim, ilustram a interrupção enfrentada por provedores de hospedagem, processadores de pagamento e plataformas de criptomoedas. Nenhuma perda financeira foi vinculada ao PHP2Shell.
O novo aviso do PHP e o que observar
Em 23 de outubro, a PHP divulgou outro problema, o CVE-2026-115560, envolvendo uma configuração de aplicativo incomum. Até que um patch regular seja disponibilizado, recomenda-se session.upload_progress.enabled=0, que também é uma mitigação para o CVE-2026-109619.
Os administradores devem instalar o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, reiniciar os workers e monitorar downloads suspeitos.
O CISO da Cobalt, Andrew Obadiaru, alertou que esse período silencioso é:
“tempo emprestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
“lixo e não funcional.”
— Spencer McIntyre, VulnCheck, citado por The Record.
Essa proteção não é infalível. A VulnCheck desenvolveu um exploit privado que contornou o ASLR no PHP 8.4.26 configurado em produção, ampliando posteriormente o suporte para algumas versões das séries 8.4 e 8.5.
John Hultquist, do Google, classificou a ameaça como:
“viável e muito sério.”
— John Hultquist, Google, citado por The Record.
Por que uma botnet DDoS preocupa operadores de hospedagem e criptomoedas
A ameaça mais ampla já é substancial. A Cloudflare registrou 935 ataques DDoS superiores a 1 terabit por segundo durante o primeiro semestre de 2026.
Esses ataques não foram atribuídos à Potassium. Ainda assim, ilustram a interrupção enfrentada por provedores de hospedagem, processadores de pagamento e plataformas de criptomoedas. Nenhuma perda financeira foi vinculada ao PHP2Shell.
O novo aviso do PHP e o que observar
Em 23 de outubro, a PHP divulgou outro problema, o CVE-2026-115560, envolvendo uma configuração de aplicativo incomum. Até que um patch regular seja disponibilizado, recomenda-se session.upload_progress.enabled=0, que também é uma mitigação para o CVE-2026-109619.
Os administradores devem instalar o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, reiniciar os workers e monitorar downloads suspeitos.
O CISO da Cobalt, Andrew Obadiaru, alertou que esse período silencioso é:
“tempo emprestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
Os atacantes estão tentando transformar servidores PHP vulneráveis em bots Potassium, parte de uma rede derivada do Mirai projetada para ataques de negação de serviço distribuídos (DDoS). Até agora, eles têm enfrentado dificuldades. The Hacker News reportou em 23 de outubro que nenhuma invasão de servidor foi confirmada.
Houve duas vulnerabilidades principais da PHP que foram os principais alvos dos ciberataques – CVE-2026-109618 e CVE-2026-109619, ambas com nota 9,2 de 10 em termos de severidade. A PHP tornou os patches disponíveis em 21 de outubro, mas, até esse momento, os hackers já haviam iniciado os ataques contra essas vulnerabilidades.
O que a Sophos viu e depois desmentiu
A Arctic Wolf relata que tentativas de execução de comandos e downloads de malware foram atribuídos ao Potassium. Outra avaliação realizada em um ambiente sandbox revelou uma amostra diferente que se conectou a thunder.godofthunder[.]st através do IP 134.199.154[.]64 na porta TCP 50792 e atacou dois hosts ucranianos.
Isso demonstrou o potencial do malware, mas não que os atacantes tenham invadido os servidores de produção. Em 22 de outubro, a Sophos retratou um anúncio anterior de sucesso, afirmando ao The Record que apenas observou tentativas de ataque malsucedidas.
Milhões de sondagens, zero invasões confirmadas
No entanto, os números indicam a extensão com que os atacantes estão fazendo varreduras. A Imperva registrou 482.342 tentativas de solicitação em 122.311 sessões direcionadas a 21.998 sites em 103 países dentro de um período de 24 horas.
Ao mesmo tempo, a Censys relatou detectar mais de 41 milhões de serviços PHP expostos à internet executando versões afetadas e apenas cerca de 1 milhão de instâncias da versão corrigida do software até 22 de outubro. Os números que refletem incidentes de varredura ou o número de indivíduos expostos são insuficientes para comprovar que ocorreu uma violação real.
Comandos de inundação 24 e um interruptor ENS inativo
A Arctic Wolf revelou que 24 comandos de inundação incluem todos os tipos de ICMP, TCP, UDP e Open VPN. Há também a presença de recursos de pesquisa do Ethereum Name Service (ENS) nas versões Potassium para ARM e x86-64, mas isso foi desativado em ambos os casos.
Ethereum e ENS não foram comprometidos. No entanto, ativar os recursos de pesquisa do ENS pode levar a uma maneira mais difícil de bloquear servidores de comando com qualquer uso de controles convencionais de DNS e IP.
Prova de conceito (PoC) lixo versus exploit privado funcional
Muitos exploits públicos de prova de conceito (PoC) falham contra as defesas de produção, particularmente a randomização do layout do espaço de endereços (ASLR). Spencer McIntyre da VulnCheck descreveu muitas amostras circulantes como:
“lixo e não funcional.”
— Spencer McIntyre, VulnCheck, citado por The Record.
Essa proteção não é infalível. A VulnCheck desenvolveu um exploit privado que contornou o ASLR no PHP 8.4.26 configurado em produção, ampliando posteriormente o suporte para algumas versões das séries 8.4 e 8.5.
John Hultquist, do Google, classificou a ameaça como:
“viável e muito sério.”
— John Hultquist, Google, citado por The Record.
Por que uma botnet DDoS preocupa operadores de hospedagem e criptomoedas
A ameaça mais ampla já é substancial. A Cloudflare registrou 935 ataques DDoS superiores a 1 terabit por segundo durante o primeiro semestre de 2026.
Esses ataques não foram atribuídos à Potassium. Ainda assim, ilustram a interrupção enfrentada por provedores de hospedagem, processadores de pagamento e plataformas de criptomoedas. Nenhuma perda financeira foi vinculada ao PHP2Shell.
O novo aviso do PHP e o que observar
Em 23 de outubro, a PHP divulgou outro problema, o CVE-2026-115560, envolvendo uma configuração de aplicativo incomum. Até que um patch regular seja disponibilizado, recomenda-se session.upload_progress.enabled=0, que também é uma mitigação para o CVE-2026-109619.
Os administradores devem instalar o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, reiniciar os workers e monitorar downloads suspeitos.
O CISO da Cobalt, Andrew Obadiaru, alertou que esse período silencioso é:
“tempo emprestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
O que é o Potassium?
O Potassium é uma variante de botnet derivada do Mirai sinalizada pela Synthient em março de 2026, que a Sophos afirma agora carrega código de download e interrupção de rede e pode executar ataques DDoS por meio de protocolos incluindo ICMP, TCP, UDP e OpenVPN.
Algum servidor foi realmente comprometido por meio do PHP2Shell?
Não. A Sophos retirou uma afirmação anterior de exploração com sucesso em 22 de outubro, e o Google, a VulnCheck e outros pesquisadores afirmam que observaram tentativas, mas não há confirmação de execução remota de código bem-sucedida.
Quais versões do PHP corrigem as falhas?
A PHP lançou correções em 21 de outubro nas versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35, e os administradores são instados a aplicar patches nos sistemas voltados para a internet primeiro e verificar se os processos dos servidores web estão executando a versão corrigida do runtime.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Micah Abiodun
Micah Abiodun faz bom uso de sua especialização em Engenharia e Gestão Ambiental (MSc) na Universidade de Tecnologia de Tallinn (TalTech) para refinar notícias sobre previsão de preços e conteúdo no Cryptopolitan. Agora em seu 7º ano no espaço de mídia cripto, ele cobre principais criptomoedas, altcoins, DeFi, stablecoins, tendências macroeconômicas e tecnologias emergentes.
