Amazon Threat Intelligence identificó un intento de explotación de PHP2Shell fechado el 17 de octubre de 2026 en la telemetría del honeypot Mad Pot, cuatro días antes de la divulgación pública de CVE-2026-109618 y CVE-2026-109619. El intento provino de una dirección IP vinculada a una red de anonimización comercial. Aunque la vulnerabilidad estaba bajo embargo, que un honeypot fuera objetivo sugiere que un actor de amenazas estaba activo, y sigue sin estar claro cómo obtuvo información del exploit antes de la divulgación.
El embargo de PHP debía levantarse el 21 de octubre de 2026 a las 14:00 UTC. Amazon Threat Intelligence observó múltiples pruebas de concepto de exploits el día de la publicación, la primera alrededor de las 02:00 UTC. Entre las 02:00 y las 08:00 UTC, intentos adicionales de explotación contra Mad Pot llegaron desde más infraestructura anonimizada. Las cargas útiles variables sugieren múltiples actores, y el análisis técnico continúa para determinar si alguno de los intentos habría tenido éxito contra sistemas reales.
En cuestión de horas desde la publicación del parche, aparecieron más pruebas de concepto de exploits y se usaron contra los sensores de Amazon casi de inmediato. PHP2Shell está ahora siendo explotado ampliamente en la naturaleza. Amazon extrae dos lecciones: un embargo protege a los defensores solo hasta que alguien más encuentra el mismo fallo, y la fecha de divulgación pública puede no ser la fecha más temprana de explotación. Como el análisis asistido por IA está abaratando la conversión de parches en exploits funcionales, la brecha entre parche y ataque se está reduciendo.
Los equipos de seguridad deberían medir los plazos de parcheo de vulnerabilidades críticas expuestas a internet en horas en lugar de días, iniciar las investigaciones desde la explotación conocida más temprana y desplegar detecciones que no dependan de firmas específicas de CVE. Actualizar a versiones de PHP corregidas es la única remediación completa. Cuando el parcheo no sea posible de inmediato, los equipos deberían considerar bloquear las cargas de archivos en varias partes tras evaluar el impacto en la aplicación, y revisar los registros en busca de solicitudes POST que contengan la cadena PHP_SESSION_UPLOAD_PROGRESS.
Fuente: Hacker News · Resumido por HeadlinesBriefing