Amazon detecta intento de explotación de PHP2Shell cuatro días antes de su divulgación

En el mundo de la ciberseguridad, la aparición de vulnerabilidades críticas suele seguir un proceso de descubrimiento, análisis y divulgación coordinada. Sin embargo, el caso de PHP2Shell ha puesto en evidencia una anomalía que desafía ese patrón habitual. El 17 de octubre, Amazon Threat Intelligence detectó un intento de explotación de dos fallos críticos de PHP, cuatro días antes de que los parches fueran publicados el 21 de octubre.

Un intento inesperado antes de la divulgación

Amazon utiliza una red de honeypots llamada MadPot para atraer y observar a los atacantes. En esta ocasión, la red registró una actividad maliciosa proveniente de una IP vinculada a una red comercial de anonimización. Los investigadores concluyeron que el actor detrás de la acción tenía la intención de explotar las vulnerabilidades, pero el motivo de su conocimiento previo sigue sin aclararse.

La actividad detectada no implicó la vulneración de una web real; la evidencia proviene únicamente de la interacción con los sistemas señuelo. No obstante, la información recopilada obliga a las organizaciones a revisar sus registros desde el 17 de octubre, no solo desde la publicación del aviso.

Origen de las vulnerabilidades PHP2Shell

Las dos vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, fueron descubiertas en agosto. El 11 de ese mes, un investigador llamado Calif informó al equipo de PHP sobre una vía de ejecución remota de código. Al mismo tiempo, OpenAI llegó de forma independiente a la misma conclusión.

El 19 de agosto, Wiz inició una investigación independiente y comunicó sus hallazgos al equipo de PHP el 24 de agosto. La inteligencia artificial jugó un papel importante en el descubrimiento y la validación de las vías de explotación, aunque no se dispone de pruebas que expliquen el intento del 17 de octubre.

Divulgación coordinada y su desenlace

La divulgación coordinada comenzó a torcerse el 20 de octubre. A las 15:00 UTC, los identificadores de los CVE empezaron a circular sin detalles técnicos, lo que llevó al proyecto a adelantar un día la publicación prevista. Un vídeo de Calif con una demostración limitada apareció por error, y el 21 a las 07:41 UTC, Chainguard publicó imágenes que incluían la corrección antes de terminar el embargo.

Tras la publicación, Cloudflare registró un aumento exponencial de intentos de explotación: de miles a decenas de miles en 45 minutos, cientos de miles en dos horas y finalmente millones, según su CEO Matthew Prince. Los atacantes también modificaron sus cargas para evadir las protecciones desplegadas.

Preguntas sin respuesta

Si bien se ha podido reconstruir la secuencia de descubrimiento, corrección y divulgación, el hecho de que alguien haya intentado explotar las vulnerabilidades el 17 de octubre sigue sin explicación. Amazon no sabe cómo el actor obtuvo información sobre el exploit antes de que fuera pública.

El caso subraya la importancia de la vigilancia continua y la necesidad de que las organizaciones revisen no solo los registros posteriores a la divulgación, sino también los anteriores. La IA ha demostrado ser una herramienta poderosa en la detección y el análisis de vulnerabilidades, pero también plantea nuevos retos en cuanto a la rapidez con la que la información puede filtrarse y ser explotada.

En definitiva, PHP2Shell ha revelado una brecha en el proceso de divulgación de vulnerabilidades que, aunque aún no se comprende completamente, destaca la necesidad de una mayor transparencia y coordinación entre las comunidades de investigación y los proveedores de software.