CiberseguridadVulnerabilidades
Amazon detectó un intento de ataque con las fallas de PHP cuatro días antes de que se conocieran
Fue el sábado 17 contra un señuelo de la empresa, desde una red que oculta el origen. Amazon pide revisar los servidores desde esa fecha; hasta ahora nadie confirmó intrusiones reales.
Amazon detectó un intento de aprovechar las fallas críticas de PHP el sábado 17 de octubre, cuatro días antes de que se hicieran públicas. Lo contó el miércoles 21 a las 22:36 UTC (19:36 en Buenos Aires, São Paulo y Montevideo, 17:36 en Bogotá y Lima, 16:36 en Ciudad de México) en el blog de seguridad de la empresa, con la firma de su jefe de seguridad, CJ Moses.
El intento llegó a MadPot, la red de señuelos que Amazon usa para estudiar ataques, servidores falsos que ningún usuario legítimo debería tocar. Venía de una dirección asociada a una red comercial de anonimización, de las que ocultan el origen real de la conexión. "Mientras la falla estaba bajo embargo, que alguien apuntara a un señuelo desde una dirección anonimizada sugiere que se trató de un actor malicioso, aunque no está claro cómo obtuvo la información antes de la divulgación", escribió Amazon.
Qué significa que alguien la conociera antes
Las dos fallas, CVE-2026-109618 y CVE-2026-109619, permiten ejecutar código en un servidor sin necesidad de contraseña y tienen una gravedad de 9,2 sobre 10. Según la cronología de la PHP Foundation, la empresa Calif y OpenAI reportaron la causa el 11 de agosto, Wiz sumó otras vías de ataque el 24 de agosto y el arreglo se preparó en reserva, como es habitual, hasta el miércoles 21, cuando salieron las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. El martes 20, cerca de las 20:00 UTC, se filtraron por error los identificadores de las fallas y un video que mostraba el ataque.
El intento del sábado 17 es anterior a esas filtraciones. Por eso Amazon pide no tomar la fecha del aviso como la primera fecha posible de un ataque y revisar los registros de los servidores al menos desde el 17 de octubre. "Con PHP2Shell, el compromiso puede ser anterior al aviso", advirtió.
La empresa no explica qué hacía exactamente el intento ni si habría funcionado contra un servidor real, y no lo atribuye a ningún grupo.
El miércoles, más intentos
El mismo miércoles 21, entre las 02:00 y las 08:00 UTC, los señuelos registraron más intentos, con variantes distintas y desde otras redes de anonimización, lo que para Amazon indica que hay varios atacantes. Después de la publicación del parche aparecieron nuevas pruebas de concepto en pocas horas, usadas casi de inmediato contra sus sensores. La empresa concluye que la falla "ya se explota de manera amplia".
Cloudflare activó reglas de protección para todos sus clientes a las 03:02 UTC del miércoles, unas nueve horas antes del aviso público, y dijo que observó tráfico de ataque y variantes armadas para esquivar esas reglas. La empresa aclara que la falla está en el propio PHP, así que actualizar el sitio o sus complementos no alcanza.
Explotada o solo intentos
Las fuentes no coinciden en cómo llamarlo. CISA, la agencia de ciberseguridad de Estados Unidos, escribió el miércoles que no había observado explotación al momento de publicar, y a las 08:15 UTC del jueves 22 las dos fallas todavía no figuraban en su catálogo de vulnerabilidades explotadas. watchTowr, que reprodujo una de las fallas, dijo a SecurityWeek que "nadie tuvo éxito hasta ahora", aunque no espera que eso dure. Recorded Future habla de intentos incipientes, sin compromisos confirmados.
Ninguna fuente confirmó hasta ahora una intrusión real. Lo que hay son intentos, algunos anteriores al aviso, y la advertencia de que el panorama puede cambiar rápido.
Qué hacer
Para quienes administran servidores, la recomendación es actualizar PHP a una de las versiones corregidas y, además, buscar señales de intrusión en los registros desde el 17 de octubre. El centro de ciberseguridad británico pide revisar si hay puertas traseras en los equipos que no se puedan actualizar enseguida.
En Latinoamérica la advertencia pesa más, porque 8 de cada 10 servicios web con PHP usan versiones que no recibieron arreglo oficial, según el cálculo de LatamByte con datos de Mallory. Esos servidores no tienen un parche para aplicar, y la salida es migrar a una versión con soporte o aislarlos de internet.
Ciberseguridad › Vulnerabilidades
Latinoamérica: 8 de cada 10 servidores con PHP sin parche, más que Europa y EE. UU., y solo 10 de 20 países avisaron
Tres de cada cuatro servidores que muestran su versión usan ramas sin parche oficial, y en Argentina nueve de cada diez. Europa apagó…
Amazon Web Services
Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | Amazon Web Services
Amazon Threat Intelligence identified a PHP2Shell exploitation attempt dating to Oct. 17, 2026, in MadPot telemetry, four days before public disclosure of CVE-2026-109618 and CVE-2026-109619. The…
thephp.foundation
Today's PHP Security Release, and How We're Strengthening PHP Security
Describing the story behind how critical security vulnerabilities were found and fixed.
wiz.io
PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog
Core PHP engine flaws enable remote code execution and Heartbleed-style memory disclosure across the web.
Cloudflare Blog
Cloudflare deploys protections against php2shell vulnerability
Cloudflare has deployed default web application firewall (WAF) protections for newly disclosed PHP vulnerabilities before public disclosure. The rules use request and response signals to stop exploit…
Cybersecurity and Infrastructure Security Agency CISA
Critical Vulnerabilities in PHP Require Immediate Patching | CISA
Cybersecurity and Infrastructure Security Agency CISA
Known Exploited Vulnerabilities Catalog | CISA
For the benefit of the cybersecurity community and network defenders—and to help every organization better manage vulnerabilities and keep pace with threat activity—CISA maintains the authoritative…
watchTowr
CVE-2026-109619: PHP Remote Code Execution Exploited
CVE-2026-109619: PHP Remote Code Execution lets attackers run code; update to PHP 8.5.12, 8.4.27, 8.3.36, or 8.2.35. Exploited in the wild per watchTowr.
SecurityWeek
PHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
PHP has fixed the critical-severity PHP2Shell vulnerabilities as PoCs emerged and in-the-wild probing has commenced.
recordedfuture.com
PHP2Shell Exploitation: Two Critical PHP Flaws Explained
Two critical PHP remote code execution flaws (PHP2Shell) are reportedly being exploited. See who’s exposed, how the exploits work, and how to remediate now.
National Cyber Security Centre
Critical security issue affecting PHP
Updated: The NCSC is encouraging UK organisations to take immediate action to mitigate a security issue affecting PHP (CVE-2026-109618 and CVE-2026-109619).
Vulnerabilidades
- CVE-2026-109618CVSS 9.2 · Crítica
- CVE-2026-109619CVSS 9.2 · Crítica
Fuentes
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot (Amazon Web Services, 2026-10-21)
- Today's PHP security release and how we're strengthening PHP security (PHP Foundation, 2026-10-21)
- PHP2Shell: PHP remote code execution (Wiz, 2026-10-21)
- Cloudflare deploys protections against php2shell vulnerability (Cloudflare, 2026-10-21)
- Critical Vulnerabilities in PHP Require Immediate Patching (CISA, 2026-10-21)
- Known Exploited Vulnerabilities Catalog (CISA, 2026-10-21)
- PHP remote code execution (PHP2Shell) (watchTowr, 2026-10-21)
- PHP2Shell patches land as first exploitation attempts hit sensors (SecurityWeek, 2026-10-21)
- PHP2Shell vulnerability exploitation (Recorded Future, 2026-10-21)
- Critical security issue affecting PHP (NCSC, 2026-10-21)