Amazon Threat Intelligence identificó recientemente intentos de explotación de una vulnerabilidad de PHP, denominada PHP2Shell, que datan del 17 de octubre de 2026. Esta actividad fue detectada a través de MadPot, una red de honeypots utilizada por Amazon para monitorear y analizar el tráfico malicioso. Notablemente, estos intentos ocurrieron cuatro días antes de la divulgación pública de las vulnerabilidades asociadas, CVE-2026-109618 y CVE-2026-109619, las cuales estuvieron bajo embargo hasta el 21 de octubre de 2026.
La detección de estos intentos desde infraestructura anonimizada mientras la vulnerabilidad aún estaba bajo embargo sugiere que los actores de amenazas podrían haber adquirido información sobre la explotación de manera prematura. Tras el lanzamiento oficial del embargo, Amazon observó un aumento en los exploits de prueba de concepto y en los intentos de explotación inmediata contra sus sensores. La variedad en las cargas útiles y la infraestructura de anonimización utilizada durante estos eventos sugiere que múltiples actores distintos estuvieron involucrados en el objetivo de la vulnerabilidad.
Esta imagen representa la infraestructura de seguridad de Amazon Web Services utilizada para detectar los intentos de explotación de PHP2Shell.
El análisis de Amazon señala un cambio estructural en el panorama de la ciberseguridad: el tiempo entre el lanzamiento de un parche y la disponibilidad de un exploit funcional se está reduciendo. El informe atribuye esto al análisis asistido por IA, que hace significativamente más barato y rápido para los actores convertir un diferencial de parche o un aviso de seguridad en un exploit funcional. En consecuencia, Amazon aconseja a los líderes de seguridad cambiar sus supuestos operativos, recomendando que los cronogramas de parche y mitigación para sistemas críticos orientados a Internet se midan en horas en lugar de días o semanas. También sugieren comenzar las investigaciones desde la fecha de explotación más temprana conocida en lugar de la fecha de divulgación pública para garantizar una respuesta integral ante incidentes.
Para mitigar estos riesgos, Amazon recomienda actualizaciones inmediatas a versiones fijas de PHP, ya que ningún ajuste de configuración por sí solo aborda completamente ambos CVE. Para los sistemas que no pueden parchearse de inmediato, sugieren considerar el bloqueo de las cargas de archivos de varias partes y el monitoreo de indicadores específicos, como solicitudes POST que contengan la cadena 'PHP_SESSION_UPLOAD_PROGRESS'. Amazon también señaló que, si bien utilizan inteligencia de amenazas interna para bloquear intentos conocidos en tiempo real, la primera explotación de una nueva vulnerabilidad a menudo ocurre antes de que las firmas de seguridad estén disponibles, lo que requiere un cambio hacia métodos de detección que no dependan únicamente de firmas CVE específicas.
Aunque la fuente principal se centra en la detección temprana de estos intentos, sigue sin estar claro si alguno de los intentos de explotación previos a la divulgación logró comprometer sistemas del mundo real. Además, el informe señala que las direcciones IP identificadas forman parte de una infraestructura de anonimización compartida y no son exclusivas de esta actividad de amenaza específica, lo que significa que las organizaciones deben utilizarlas como parte de una investigación más amplia en lugar de como una base definitiva para el bloqueo.