Amazon Threat Intelligence ha detectado un intento de explotación de vulnerabilidades críticas en PHP, conocido como PHP2Shell, incluso antes de su divulgación pública. Este evento, evidenciado por la red de honeypots MadPot, ocurrió el 17 de octubre, cuatro días antes de que se publicaran los parches y el aviso oficial. La situación plantea preocupaciones sobre cómo un actor malicioso pudo anticiparse a la divulgación, lo que destaca la necesidad de que las organizaciones revisen sus registros desde esa fecha.
PHP2Shell reúne dos vulnerabilidades severas, CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de 9.2 sobre 10. Estas fallas afectan componentes críticos de PHP relacionados con la gestión de memoria, permitiendo potencialmente la ejecución remota de código sin autenticación. Esto puede tener serias repercusiones, dado que están integradas en el propio runtime de PHP. La recomendación de los expertos es actualizar de inmediato todas las instalaciones que utilicen versiones afectadas del software.
La divulgación de estas vulnerabilidades se complicó el 20 de octubre, cuando comenzaron a circular identificadores sin detalles técnicos, lo que llevó a la PHP Foundation a adelantar la publicación. Tras el anuncio, Cloudflare registró un aumento exponencial en los intentos de explotación, pasando de miles a millones en cuestión de horas. Este patrón evidencia la rapidez con la que los atacantes se adaptan a nueva información sobre vulnerabilidades.
Aún se carece de detalles sobre cómo se produjo el primer intento de explotación el 17 de octubre, ya que no había suficiente información pública en ese momento. Las organizaciones deben permanecer alertas y proactivas en la revisión de sus sistemas para evitar posibles compromisos, especialmente tras la publicación de alertas sobre vulnerabilidades críticas.