N環球 
Amazon: Los ataques PHP2Shell comenzaron cuatro días antes que los parches, ahora ampliamente explotados
Amazon Threat Intelligence dice que los intentos de explotar las fallas críticas de PHP2Shell comenzaron el 17 de octubre, cuatro días antes de que se enviaran los parches, y las fallas ahora se están explotando ampliamente en la naturaleza.
Por qué es importante
PHP impulsa hasta el 80% de los sitios web de todo el mundo, incluidos WordPress, Drupal y Joomla. Las dos fallas críticas (CVE-2026-109618 y CVE-2026-109619, CVSS 9.2) permiten la ejecución remota de código de autenticación previa. Amazon confirmó que los atacantes no esperaron a la divulgación pública: el primer intento de explotación llegó el 17 de octubre, cuatro días antes de que la Fundación PHP enviara los parches el 21 de octubre. La suposición de que la fecha de divulgación marca el inicio de los ataques ya no se sostiene: los defensores deben comenzar sus investigaciones a partir del 17 de octubre.
Informe completo
El equipo de inteligencia de amenazas de Amazon reveló en una publicación de blog de seguridad el 22 de octubre que su red Honeypot MadPot registró el primer intento de explotación de PHP2Shell el 17 de octubre, mientras las vulnerabilidades aún estaban bajo embargo (la publicación pública fue a las 14:00 UTC del 21 de octubre). El intento provino de una dirección IP vinculada a una red comercial de anonimización. "Aún no está claro cómo el actor adquirió la información de explotación antes de su divulgación", dijo CJ Moses, director de seguridad de la información de Amazon.
El 21 de octubre, Amazon vio múltiples exploits de prueba de concepto, el primero aproximadamente 12 horas antes del lanzamiento del parche. Las cargas útiles y la infraestructura anónima variaron, lo que sugiere varios actores distintos. A las pocas horas de enviarse el parche, se activaron nuevos exploits en los sensores de Amazon. Amazon ahora describe PHP2Shell como "ampliamente explotado en la naturaleza", y los intentos vistos por Cloudflare han ascendido a millones.
Dataminr dijo el mismo día que la actividad observada sigue limitada a escaneo, toma de huellas digitales y exploits que no funcionan, sin compromisos conocidos, pero que los exploits que funcionen son solo cuestión de tiempo.
Fondo
Las fallas afectan a todas las versiones de PHP 7.x y 8.x y fueron descubiertas por investigadores de California, OpenAI y Wiz, propiedad de Google. El código defectuoso había permanecido en PHP durante años hasta que una auditoría de agosto financiada por OpenAI utilizó un modelo de IA para demostrar que era prácticamente explotable: el origen del nombre "PHP2Shell". Versiones corregidas: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
El consejo de Amazon: actualizar PHP es la única solución completa; las investigaciones deberían comenzar a partir del 17 de octubre; Los sistemas que aún no pueden parchear pueden considerar bloquear la carga de archivos de varias partes después de probar qué se rompe.
💬 Comments
No comments yet. Be the first!