Amazon advierte que las fallas de PHP2Shell ya están siendo explotadas masivamente

Sitios web de gobiernos, escuelas y hospitales en toda Europa quedaron fuera de servicio el miércoles 21 de octubre. Los operadores trabajaban a contrarreloj para proteger sus servidores de dos fallas críticas en PHP, el lenguaje de programación que sustenta gran parte de la web. Algunas organizaciones en Estados Unidos también desactivaron sus sitios. Las vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, se conocen colectivamente como "PHP2Shell". Ambas tienen una calificación de 9.2 sobre 10, y cualquiera de ellas permite a un atacante ejecutar código en un servidor sin necesidad de iniciar sesiónapnews.com+2. Los desarrolladores de PHP lanzaron correcciones en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35 alrededor de las 13:30 UTC del miércoles. El lanzamiento se adelantó un día debido a que los identificadores se habían filtradodetroitnews.com+2. ## Sitios a oscuras En los Países Bajos, muchas organizaciones siguieron al Centro Nacional de Ciberseguridad al desconectar sus sitios públicos. Esto incluyó al Puerto de Róterdam, el portal gubernamental Overheid.nl y numerosos sitios de hospitales. El centro estatal de TI de Finlandia, Valtori, cerró los servicios web del gobierno. El proveedor federal de TI de Alemania y el Ministerio del Interior de Francia, que gestiona los sitios de las prefecturas, retiraron páginas como medida de precaución. El ministerio de exteriores de Bélgica hizo lo mismo. En Dinamarca, la empresa municipal de TI Kombit cerró varios servicios, incluida la plataforma nacional de comunicación escolar. Wikipedia, 4chan y DeviantArt también sufrieron interrupcionesreuters.com+2. La NSA, el FBI y CISA instaron a las organizaciones a actualizar de inmediato o desconectar sus sistemas. CERT-EU, ENISA y Europol emitieron una declaración conjunta pidiendo a las organizaciones que aislaran las aplicaciones expuestas hasta que pudieran ser parcheadasenisa.europa.eu+1. ## Descubiertas con IA OpenAI afirmó que lideró una coalición que dedicó dos meses a estas fallas. Las calificó como "uno de los problemas de seguridad más impactantes de los últimos tiempos" y señaló que la IA pareció encontrarlas antes que los atacantes. El grupo de seguridad Calif encontró una falla usando un modelo de OpenAI, y Wiz, propiedad de Google, descubrió los errores de forma independiente con IA. Wiz indicó que la falla había estado presente en PHP durante unos 20 años porque explotarla requería una cadena de pasos "al límite de lo que los investigadores humanos podían lograr en la práctica"theverge.com+1. ## Ataques emergentes Temprano en el día, el director de tecnología de Cloudflare dijo que la compañía estaba "viendo ataques emergentes". Más tarde, Cloudflare informó picos de miles de intentos de explotación. El miércoles por la noche, Amazon Threat Intelligence señaló que PHP2Shell "está siendo explotado masivamente en el mundo real". También mencionó que un intento el 17 de octubre sugiere que un atacante pudo haber conocido las fallas con antelación. CISA dijo el miércoles que no había visto explotacióndetroitnews.com+3. "Lo que cambió no fue el código subyacente, sino la capacidad de encontrar esas debilidades y convertirlas en exploits funcionales", dijo Ismael Valenzuela de Arctic Wolfapnews.com.