Investigadores de Amazon detectaron que atacantes explotaron las vulnerabilidades críticas "PHP2Shell" (CVE-2026-109618 y CVE-2026-109619) cuatro días antes de que se lanzaran los parches oficiales. Estos fallos permiten la ejecución remota de código (RCE) en sistemas vulnerables, afectando potencialmente a millones de sitios web. Se insta urgentemente a los administradores a actualizar sus servidores PHP o desconectarlos para evitar ataques activos.





Los investigadores de seguridad de Amazon Threat Intelligence afirman que los atacantes comenzaron a aprovechar los fallos de PHP2Shell cuatro días antes de que se publicaran los parches de seguridad el miércoles.

Identificadas como CVE-2026-109618 y CVE-2026-109619, las dos vulnerabilidades críticas permiten a los atacantes lograr la ejecución remota de código (RCE) en sistemas vulnerables. El equipo de seguridad de PHP los parcheó el 21 de octubre, tras instar a los administradores un día antes a prepararse para instalar las actualizaciones tan pronto como estuvieran disponibles.

La desarrolladora del núcleo de PHP, Gina Peter Banyard, advirtió antes de la divulgación que la aplicación de los parches de seguridad oficiales es la única defensa permanente, mientras que el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido pidió a las organizaciones británicas actualizar inmediatamente los servidores PHP o desconectarlos hasta que puedan ser parcheados.

El equipo de PHP afirma que todo salió según lo planeado hasta dos días antes de la divulgación coordinada, cuando tuvo que adelantar la fecha de lanzamiento al 20 de octubre después de que algunos detalles sobre los fallos de seguridad de PHP2Shell (incluidos los dos ID de CVE y los consejos de mitigación proporcionados a algunos proveedores de infraestructura crítica) se filtraran en línea.

Aunque también se publicaron algunas pruebas de concepto antes de que se lanzaran los parches, el equipo de seguridad de PHP afirmó que ninguna era funcional.

El informe de Amazon Threat Intelligence llega después de que múltiples empresas de ciberseguridad (incluidas Cloudflare, watchTowr, Previdian, Hadrian y Patchstack) detectaran intentos de explotación fallidos antes de la divulgación pública.

Según Amazon, los primeros intentos de explotación comenzaron el sábado 17 de octubre (cuatro días antes de que se publicaran los parches de PHP2Shell), y los atacantes desplegaron múltiples exploits de prueba de concepto de PHP2Shell horas después de la divulgación desde direcciones IP de VPN.