Amazon afirma que la explotación de PHP2Shell comenzó cuatro días antes de los parches
Investigadores de Amazon Threat Intelligence han señalado que los atacantes comenzaron a atacar las vulnerabilidades PHP2Shell cuatro días antes de que se publicaran los parches de seguridad el miércoles. Los dos fallos críticos, registrados como CVE-2026-109618 y CVE-2026-109619, permiten a un atacante lograr ejecución remota de código (RCE) en sistemas vulnerables. El equipo de seguridad de PHP los corrigió el 21 de octubre, después de haber solicitado el día anterior a los administradores que se prepararan para instalar las actualizaciones en cuanto estuvieran disponibles.
La desarrolladora del núcleo de PHP Gina Peter Banyard advirtió antes de la divulgación de que aplicar los parches oficiales es la única defensa permanente, mientras que el Centro Nacional de Ciberseguridad del Reino Unido (NCSC) instó a las organizaciones británicas a actualizar de inmediato sus servidores PHP o a retirarlos de línea hasta poder parchearlos.
El equipo de PHP asegura que todo transcurrió según lo previsto hasta dos días antes de la divulgación coordinada, cuando tuvo que adelantar la fecha de publicación prevista inicialmente para el 20 de octubre tras filtrarse en línea detalles sobre los fallos PHP2Shell, incluidos los dos identificadores CVE y recomendaciones de mitigación facilitadas a algunos proveedores de infraestructuras críticas. Aunque también se publicaron algunas pruebas de concepto antes de la difusión de los parches, el equipo de seguridad de PHP afirmó que ninguna era funcional.
El informe de Amazon Threat Intelligence llega después de que varias empresas de ciberseguridad, entre ellas Cloudflare, watchTowr, Previdian, Hadrian y Patchstack, detectaran intentos de explotación fallidos antes de la divulgación pública.
"Ampliamente explotadas en la naturaleza"
Según Amazon, los primeros intentos de explotación comenzaron el sábado 17 de octubre, cuatro días antes de la publicación de los parches de PHP2Shell, y los atacantes desplegaron varias pruebas de concepto de explotación horas después de la divulgación desde direcciones IP de VPN.
"El intento de explotación se originó en una dirección IP asociada a una red comercial de anonimización. Aunque la vulnerabilidad estaba bajo embargo, el hecho de que se dirigiera a un honeypot desde una IP anonimizada sugiere que la actividad fue llevada a cabo por un actor de amenazas, si bien no está claro cómo obtuvo información sobre el exploit antes de la divulgación", declaró CJ Moses, director de seguridad de la información de AWS.
Moses añadió: "Los payloads reales y las elecciones en materia de infraestructura de anonimización variaron, lo que sugiere que fueron varios actores. El análisis técnico continúa y no está claro si alguno de estos intentos habría tenido éxito en sistemas reales".
Moses también señaló que las vulnerabilidades PHP2Shell "ahora se están explotando ampliamente en la naturaleza" y advirtió de que "los defensores no deben asumir que la fecha de divulgación pública es la fecha más temprana de explotación".
PHP (Hypertext Preprocessor) es un lenguaje de desarrollo web de código abierto que impulsa hasta el 80% de todos los sitios web de Internet, incluidos los que utilizan sistemas de gestión de contenidos (CMS) populares como WordPress, Drupal y Joomla. VirusTotal rastrea actualmente más de 5,1 millones de hosts PHP expuestos en línea, de los cuales aproximadamente 3,8 millones tienen al menos un puerto abierto a ataques.
Con credenciales válidas, solo se bloquea el 37% de las acciones de los atacantes
Las puntuaciones globales de prevención pueden ocultar lo que ocurre después del acceso inicial. Cuando los atacantes utilizan credenciales válidas, la prevención cae drásticamente. El Blue Report 2026 mide las defensas técnica por técnica en 338 millones de simulaciones ejecutadas en entornos de producción de clientes.
Deja una respuesta