Amazon Threat Intelligence ha revelado que los atacantes ya estaban sondeando una falla crítica de PHP, bautizada como PHP2Shell, días antes de que los responsables del software publicaran una corrección. El hallazgo, obtenido a partir de la red de honeypots MadPot de Amazon, adelanta el inicio conocido de la explotación y complica los esfuerzos de los equipos de seguridad para determinar cuándo quedaron expuestos sus propios sistemas.

Según Amazon, los primeros intentos de explotación se detectaron el 17 de octubre de 2026, cuatro días antes de que PHP publicara los parches oficiales el 21 de octubre. El ataque inicial se llevó a cabo a través de una dirección IP enmascarada por una red comercial de anonimato, lo que ha dificultado la atribución. La vulnerabilidad está registrada bajo dos identificadores, CVE-2026-109618 y CVE-2026-109619, y tiene una puntuación de gravedad de 9,2 sobre 10. Permite la ejecución remota de código y afecta a todas las versiones de PHP desde la versión 5 en adelante, lo que pone en riesgo teórico a cientos de miles de servidores en todo el mundo.

CJ Moses, director de Seguridad de la Información de Amazon, supervisa el equipo de inteligencia de amenazas que identificó la actividad temprana. Por separado, la firma de seguridad watchTowr confirmó explotación activa a través de su propia red de monitoreo, Attacker Eye, a partir del 21 de octubre, el mismo día en que se hizo público el parche. Los exploits de prueba de concepto comenzaron a circular públicamente solo unas horas después de que el parche se publicara a las 14:00 UTC, dejando a los equipos de defensa una ventana estrecha para aplicar las correcciones antes de que el código funcional estuviera ampliamente disponible.

Una línea de tiempo revisada para los equipos de defensa

El desfase de cuatro días entre la primera explotación y la publicación del parche es el detalle que inquieta a los equipos de seguridad. Las investigaciones que asumían que los sistemas estaban a salvo hasta el 21 de octubre ahora deben reabrirse para cubrir los días anteriores, un proceso más lento y costoso una vez que los registros han envejecido o han quedado fuera de las ventanas de retención.

Para los operadores europeos, incluidas las empresas que gestionan infraestructura relacionada con bitcoin construida sobre PHP, la línea de tiempo revisada importa porque implica que cualquier evaluación de compromiso basada únicamente en la fecha del parche pasaría por alto la actividad más temprana. Dada la amplia presencia de PHP en servicios web, exchanges, herramientas de custodia y sistemas de back-office que intervienen en operaciones cripto en todo el continente, la pregunta práctica para muchos equipos ya no es si aplicaron el parche a tiempo, sino si están revisando lo suficientemente atrás en el tiempo.

Charles Guillemet, director de Tecnología de Ledger, ocupa un cargo que lo sitúa entre las figuras del sector que siguen de cerca este tipo de riesgos de infraestructura, lo que subraya que la exposición va más allá del alojamiento web convencional y alcanza entornos adyacentes a la custodia de activos digitales.

Amazon y watchTowr no han revelado cómo pudieron llegar detalles de la falla a los atacantes antes de la publicación del parche, y no se han dado más detalles sobre el alcance de los compromisos confirmados.