Amazon: ataques PHP2Shell comenzaron días antes de los parches

Los atacantes han realizado millones de intentos para explotar las vulnerabilidades PHP2Shell, dos fallos críticos en el lenguaje de programación PHP. Amazon asegura que el primer intento detectado ocurrió cuatro días antes de que se publicaran los parches. Aun así, las autoridades cibernéticas europeas señalan que los hackers han tenido dificultades para convertir los fallos en ataques funcionales, lo que deja en duda el alcance real del daño causado por la filtración y la divulgación apresurada.

Un aumento en los intentos

El CEO de Cloudflare, Matthew Prince, declaró el jueves que su empresa había detectado "millones" de intentos de explotación, informó Politico. Cloudflare contabilizó miles de intentos en las 10 horas previas al anuncio público, decenas de miles en los 45 minutos posteriores y cientos de miles en un lapso de dos horas, según The Register. Cloudflare también señaló que los atacantes estaban ajustando sus cargas útiles para intentar evadir sus reglas de firewall.politico.eu+1

Los fallos se rastrean como CVE-2026-109618 y CVE-2026-109619. Ambos tienen una calificación de severidad de 9.2 y permiten a un atacante ejecutar código en un servidor sin necesidad de autenticación. PHP lanzó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, según Security Affairs. El equipo de PHP tuvo que adelantar la fecha de lanzamiento tras la filtración de los detalles de los errores en línea, informó BleepingComputer.bleepingcomputer.com+1

Detección temprana de Amazon

En una entrada de blog, Amazon Threat Intelligence indicó que su red de honeypots MadPot, un conjunto de sistemas señuelo diseñados para atraer atacantes, registró un intento de explotación de PHP2Shell el sábado 17 de octubre. El intento provino de una dirección IP vinculada a una red de anonimización comercial. "Sigue sin estar claro cómo el actor obtuvo información sobre el exploit antes de la divulgación", escribió CJ Moses, director de seguridad de la información de Amazon.aws.amazon.com

El 21 de octubre, Amazon detectó varios exploits de prueba de concepto a partir de las 02:00 UTC, unas 12 horas antes del lanzamiento oficial a las 14:00 UTC. Las cargas útiles variaban, lo que según Amazon apunta a múltiples actores. La compañía afirmó que PHP2Shell "está siendo explotado ampliamente en la naturaleza", pero añadió que no está claro si alguno de estos intentos habría funcionado contra sistemas reales. Amazon aconsejó a las organizaciones buscar actividad sospechosa desde al menos el 17 de octubre, informó The Register.theregister.com

Pocos éxitos reportados por las autoridades

Thomas Caspers, vicepresidente de la agencia cibernética alemana BSI, dijo a Politico que la agencia había observado ataques pero ninguna explotación exitosa. "Parece un poco más complicado de lo esperado de explotar", afirmó. Matthijs van Amelsfort, jefe de la agencia de ciberseguridad holandesa, señaló que no había indicios de que el fallo estuviera siendo "utilizado activamente", aunque advirtió que eso podría cambiar.politico.eu

Varios departamentos gubernamentales europeos desconectaron sus sitios web como medida de precaución. Hasta la mañana del jueves, los sitios web del ministerio de justicia de Francia y su autoridad de protección de datos seguían mostrando avisos de mantenimiento, informó Politico.politico.eu