Archivo - Ilustración de ciberseguridad. - FREEPIK. - Archivo
MADRID, 23 Oct. (Portaltic/EP) -
Actores de amenazas intentaron explotar las vulnerabilidades críticas identificadas en el ecosistema PHP, conocidas como PHP2Shell, días antes de que se hicieran públicas el pasado miércoles, como se desprende de un informe de Amazon Threat Intelligence.
The PHP Group publicó el 21 de octubre la existencia de dos fallos críticos en su lenguaje de programación, etiquetados como CVE-2026-109618 y CVE-2026-109619, que se han dado a conocer popularmente como 'PHP2shell'. Ese día también se lanzó la actualización de seguridad urgente que las soluciona.
Las dos vulnerabilidades abren la puerta a los atacantes que buscan ejecutar su propio código en servidores afectados, para tomar el control con el objetivo de alterar maliciosamente sitios web o robar datos.
Aunque en un primer momento se indicó que no se había reportado la explotación de ambos fallos, desde Cloudflare advirtieron que se estaban produciendo "ataques tempranos" contra sitios PHP de su plataforma.
Un informe de Amazon ha confirmado que hubo intentos de explotación días antes de que venciera el embargo informativo y se divulgaran las vulnerabilidades. En concreto, el equipo de Amazon Threat Intelligence identificó un intento de explotación el 17 de octubre.
Este intento se detectó en la telemetría de MadPot, una herramienta de seguridad que Amazon utiliza a modo de cebo para atraer a los actores de amenazas y analizarlos. Ello ha permitido identificar que se originó desde "una dirección IP asociada a una red de anonimización comercial".
El mismo miércoles, Amazon también identificó "múltiples exploits de prueba de concepto para la vulnerabilidad" e "intentos adicionales de explotación de PHP2Shell dirigidos a MadPot desde infraestructura anonimizada adicional". "Las cargas útiles y las opciones de infraestructura de anonimización variaron, lo que sugiere la participación de múltiples actores", explican en un comunicado.
La actividad maliciosa no se detuvo tras la publicación de las vulnerabilidades y la corrección. Ante esta situación, y dado el tiempo que podría llevar a algunos desarrolladores a actualizar sus sitios web, entidades como el Equipo de Respuesta a Emergencias Informáticas de la Unión Europea recomendaron a quellos sitios que no pudieran actualizar de inmediato "aislar las aplicaciones orientadas a internet de las redes públicas hasta que haya una solución disponible".
Esta medida ha afectado en los últimos días a numerosas páginas web y aplicaciones de todo el mundo que utilizan PHP, un lenguaje de programación que también se utiliza para procesar formularios, gestionar sesiones o consultar bases de datos ampliamente en todo el mundo. Ejemplo de este uso extendido es WordPress, ya que todos los sitios web creados con su plataforma funcionan en servidores que utilizan PHP, abarcando el 40 por ciento de internet.
Varios países, como Países Bajos, Bélgica o Francia, confirmaron suspensiones voluntarias de servicios oficiales y Japón recomendó desactivar páginas web en caso extremo.