Investigadores de ciberseguridad de la división de Inteligencia de Amenazas de Amazon (Amazon Threat Intelligence) confirmaron que los atacantes comenzaron a explotar las peligrosas vulnerabilidades PHP2Shell cuatro días completos antes del lanzamiento oficial de los parches de seguridad.
Las dos vulnerabilidades críticas, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten a los atacantes ejecutar código de forma remota (RCE) en los sistemas afectados. El equipo de desarrollo del lenguaje PHP se apresuró a lanzar las correcciones necesarias el 21 de octubre, un día después de instar a los administradores de sistemas a prepararse para instalar las actualizaciones tan pronto como estuvieran disponibles.
Filtración de detalles de las vulnerabilidades y aceleración del cronograma
El equipo de PHP explicó que los acontecimientos se aceleraron, en contra del plan original, dos días antes de la divulgación completa, tras la filtración de detalles técnicos sobre las vulnerabilidades PHP2Shell en Internet, los cuales incluían identificadores CVE y consejos de mitigación dirigidos a ciertos proveedores de infraestructura crítica. Aunque se publicaron algunas pruebas de concepto (PoC) de la explotación antes del lanzamiento de las actualizaciones, el equipo de PHP señaló que, en ese momento, carecían de cualquier capacidad funcional real para llevar a cabo una intrusión.
Operaciones de explotación en campo y su inicio
El informe de Amazon se produjo después de que múltiples empresas de seguridad, incluidas Cloudflare, watchTowr, Previdian, Hadrian y Patchstack, detectaran intentos de explotación fallidos que precedieron a la divulgación pública. Según declaraciones de CJ Moses, director de seguridad de la información de Amazon Web Services (AWS), los primeros intentos comenzaron el sábado 17 de octubre desde direcciones IP pertenecientes a una red comercial de ocultación de identidad.
Moses añadió que las cargas útiles reales y las infraestructuras utilizadas para ocultar la identidad variaron, lo que sugiere la participación de múltiples actores maliciosos. Asimismo, advirtió a los defensores que no deben confiar en la fecha de divulgación pública como el momento más antiguo del inicio de los ataques, confirmando que las vulnerabilidades están siendo explotadas actualmente de forma generalizada en el entorno real.
¿Qué significa esto para los sitios y sistemas?
El lenguaje PHP (Hypertext Preprocessor) es la base de programación abierta que impulsa aproximadamente el 80% de todos los sitios web en Internet, incluidas plataformas populares de gestión de contenidos como WordPress, Drupal y Joomla. Los datos de la plataforma VirusTotal indican la existencia de más de 5.1 millones de servidores PHP expuestos en Internet, de los cuales unos 3.8 millones contienen al menos un puerto abierto a posibles ataques, lo que hace que el impacto potencial sea extremadamente amplio.