Amazon Threat Intelligence informó que identificó intentos de explotación de las vulnerabilidades conocidas como PHP2Shell varios días antes de que estas fueran divulgadas públicamente, un hallazgo que pone de relieve los desafíos que enfrentan las organizaciones para proteger sistemas expuestos a internet incluso durante procesos de divulgación coordinada de vulnerabilidades.
De acuerdo con la investigación publicada por AWS, la actividad fue detectada a través de MadPot, su red global de honeypots diseñada para observar y analizar comportamientos maliciosos. Los analistas identificaron un intento de explotación fechado el 17 de octubre, cuatro días antes de la divulgación pública de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619. El ataque se originó desde una dirección IP asociada con una red comercial de anonimización, lo que llevó a la compañía a considerar que probablemente estuvo relacionado con un actor de amenazas, aunque reconoció que todavía no está claro cómo obtuvo información sobre las fallas antes de su publicación oficial.
AWS indicó que el período de embargo para estas vulnerabilidades estaba programado para finalizar el 21 de octubre a las 14:00 UTC. Sin embargo, ese mismo día la empresa observó múltiples pruebas de concepto dirigidas contra sus sensores, incluida una detectada alrededor de las 02:00 UTC, aproximadamente doce horas antes de que se levantara el embargo. Entre las 02:00 y las 08:00 UTC se registraron nuevos intentos procedentes de diferentes infraestructuras de anonimización y con cargas útiles distintas, lo que, según la compañía, apunta a la participación de múltiples actores.
La investigación técnica continúa y AWS señaló que aún no ha determinado si estos intentos habrían tenido éxito en entornos reales. No obstante, una vez publicadas las correcciones y levantado el embargo, nuevos códigos de explotación comenzaron a circular en cuestión de horas y fueron utilizados casi de inmediato contra la infraestructura de monitoreo de la compañía. AWS afirmó que PHP2Shell ya está siendo explotado de forma amplia en entornos reales.
La alerta ha generado atención debido a la amplia presencia de PHP en internet. Según datos citados por Infosecurity Magazine basados en estadísticas de W3Techs, PHP es utilizado por cerca del 69,7 % de los sitios web cuya tecnología del lado del servidor es conocida, incluyendo plataformas como WordPress, Drupal, Joomla y Magento.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) también publicó una advertencia instando a las organizaciones a aplicar las actualizaciones de seguridad correspondientes. El organismo señaló que las vulnerabilidades permiten la ejecución remota de código sin autenticación y recomendó priorizar de forma inmediata la actualización de los sistemas PHP expuestos a internet.
Más allá del caso específico de PHP2Shell, AWS sostuvo que el episodio refleja una tendencia observada en la industria: la reducción del tiempo entre la divulgación de una vulnerabilidad y la disponibilidad de herramientas de explotación funcionales. La compañía atribuyó parte de este fenómeno al uso creciente de análisis automatizados y técnicas asistidas por inteligencia artificial para estudiar diferencias en parches o avisos de seguridad, lo que disminuye el costo y el tiempo necesarios para desarrollar exploits.
Para los equipos de seguridad, el caso refuerza la necesidad de considerar que una vulnerabilidad puede estar siendo utilizada antes de su anuncio oficial y que las investigaciones de posibles compromisos no siempre deben comenzar a partir de la fecha de publicación de una alerta, sino desde los primeros indicios conocidos de actividad maliciosa.
Fuente: AWS | Editado por CDOL
