Los ataques contra dos vulnerabilidades críticas de PHP, conocidas colectivamente como PHP2Shell, no esperaron a la publicación de los parches. Amazon Threat Intelligence detectó un primer intento de explotación el 17 de octubre, cuatro días antes de que la información fuera revelada públicamente y de que estuvieran disponibles las actualizaciones de seguridad.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, obtuvieron una puntuación de 9,2 sobre 10 en la escala CVSS v4.0. Afectan al manejo de memoria del lenguaje PHP y podrían permitir que un atacante sin credenciales ejecute código malicioso en servidores vulnerables.
Según Cloudflare, la actividad maliciosa creció de forma explosiva tras la divulgación. La compañía registró miles de intentos en las diez horas previas al anuncio, decenas de miles durante los primeros 45 minutos posteriores y cientos de miles en las siguientes dos horas. Desde entonces, los intentos de explotación habrían alcanzado la escala de millones.
Los ciberdelincuentes tampoco se limitan a reutilizar un mismo método. Cloudflare explicó que ha observado modificaciones en las cargas útiles de los ataques, aparentemente orientadas a evadir su firewall de aplicaciones web (WAF). Los atacantes parecerían ajustar sus peticiones a partir de las respuestas bloqueadas, buscando identificar qué variantes logran pasar los filtros.
Amazon detectó los primeros indicios a través de MadPot, su red de honeypots diseñada para atraer y monitorear actividades sospechosas. El intento del 17 de octubre provino de una dirección IP anonimizada, lo que sugiere que fue ejecutado por un actor de amenazas. Sin embargo, la compañía reconoció que todavía no está claro cómo esa persona obtuvo información sobre la vulnerabilidad antes de su revelación oficial.
El 21 de octubre, Amazon identificó además varios proof-of-concept. El más antiguo apareció cerca de las 02:00 UTC, unas doce horas antes de la publicación de los parches. En las seis horas siguientes se registraron nuevos intentos desde infraestructuras anónimas y con cargas distintas, un patrón que apuntaría a varios grupos atacantes en lugar de uno solo.
La gravedad del problema radica en que las fallas residen en el propio entorno de ejecución de PHP, no en un plugin o aplicación específica. Por ello, cualquier servidor web que utilice versiones afectadas del lenguaje podría estar expuesto, independientemente del gestor de contenidos que emplee.
Las correcciones ya están disponibles en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los expertos instan a los administradores a actualizar de inmediato, pues las reglas de WAF desplegadas por Cloudflare —disponibles incluso para clientes gratuitos— son solo una medida temporal y no reemplazan el parcheo.
Amazon recomendó revisar registros y actividad sospechosa desde al menos el 17 de octubre. La advertencia es clara: no conviene asumir que un sistema estuvo seguro simplemente porque la vulnerabilidad se hizo pública recién esta semana.
