Un reciente informe de Amazon Threat Intelligence ha puesto de manifiesto un hecho inquietante en el ámbito de la ciberseguridad: se detectaron intentos de explotación de vulnerabilidades críticas en PHP antes de que estas fueran divulgadas públicamente. En concreto, el 17 de octubre, se registró actividad sospechosa relacionada con PHP2Shell, un conjunto de fallos que no se hicieron públicos hasta el 21 de octubre, lo que sugiere que un actor malicioso pudo haber tenido acceso a información privilegiada.
Detalles de las vulnerabilidades en PHP
Las vulnerabilidades identificadas, catalogadas como CVE-2026-109618 y CVE-2026-109619, han sido calificadas con un 9.2 sobre 10 en la escala de severidad. Estas fallas están relacionadas con la gestión de memoria y errores en el núcleo de PHP, lo que significa que podrían permitir la ejecución remota de código sin autenticación bajo ciertas condiciones. Cloudflare ha advertido que esto podría comprometer la seguridad de múltiples instalaciones de PHP, lo que hace urgente la revisión y actualización de los sistemas afectados.
El descubrimiento y la respuesta de la comunidad
La cronología de los eventos se remonta a agosto, cuando se notificó al equipo de PHP sobre la vulnerabilidad. A partir de ahí, varias entidades, incluyendo OpenAI y Wiz, comenzaron a investigar y a comunicar sus hallazgos. Sin embargo, lo que resulta más sorprendente es que, mientras estas investigaciones se llevaban a cabo, Amazon detectó intentos de explotación cuatro días antes de la divulgación oficial, lo que plantea preguntas sobre cómo se filtró esta información.
Consecuencias de la divulgación y el aumento de intentos de explotación
Una vez que se hizo pública la información sobre las vulnerabilidades, Cloudflare reportó un aumento drástico en los intentos de explotación. En las horas previas al anuncio, se registraron miles de intentos, que se dispararon a millones en cuestión de horas tras la divulgación. Este aumento en la actividad maliciosa demuestra la rapidez con la que los atacantes pueden adaptarse a nuevas vulnerabilidades y la importancia de una respuesta rápida por parte de las organizaciones afectadas.
Preguntas sin respuesta
A pesar de la claridad en la secuencia de eventos posterior a la divulgación, persisten interrogantes sobre el origen de la información que permitió los intentos de explotación antes de la fecha oficial. Amazon ha señalado que la actividad provenía de una IP asociada a una red de anonimización, lo que complica aún más la identificación del actor detrás de estos intentos. La comunidad de ciberseguridad se enfrenta ahora al reto de entender cómo se filtró esta información y qué medidas pueden implementarse para prevenir futuros incidentes similares.
La situación actual subraya la necesidad de que las organizaciones revisen sus registros y fortalezcan sus sistemas de seguridad, no solo en respuesta a la divulgación de vulnerabilidades, sino también ante la posibilidad de que actores maliciosos tengan acceso anticipado a información crítica.
Fuente: Información elaborada a partir de la publicación original.
