tech
Los fallos críticos de PHP acaban de hacerse públicos. Lo misterioso es que alguien ya intentaba explotarlos cuatro días antes
Se hicieron públicos fallos críticos de PHP que un actor malicioso intentó explotar cuatro días antes de la divulgación oficial.
Key points
- Amazon detectó intentos de ataque el 17 de octubre, antes de la publicación de parches el día 21.
- Las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 afectan la gestión de memoria de PHP con una gravedad de 9,2/10.
- Calif, OpenAI y Wiz identificaron los fallos entre agosto y septiembre antes de la divulgación coordinada.
Why it matters. La detección de ataques previos a los parches sugiere que actores maliciosos obtuvieron información confidencial, obligando a las empresas a revisar sus registros desde el 17 de octubre.
Amazon Threat Intelligence detectó el 17 de octubre en su red MadPot un intento de explotar vulnerabilidades de PHP2Shell en Estados Unidos. Los fallos CVE-2026-109618 y CVE-2026-109619 tienen una calificación de 9,2 sobre 10 y fueron reportados por Calif, OpenAI y Wiz desde agosto. Amazon afirma que un actor malicioso usó una red de anonimización cuatro días antes de que la PHP Foundation publicara los parches el 21 de octubre.
Latest updates
Los fallos críticos de PHP acaban de hacerse públicos. Lo misterioso es que alguien ya intentaba explotarlos cuatro días antes
Hay vulnerabilidades que pueden permanecer ocultas durante años y, cuando finalmente alguien las encuentra, todavía no se hacen públicas de inmediato . Comienza entonces una carrera discreta: entender qué permiten hacer, preparar una corrección y coordinar su divulgación antes de que la información llegue a quien pueda aprovecharla. Es un equilibrio delicado y bastante habitual en ciberseguridad. Hay vulnerabilidades que pueden permanecer ocultas durante años y, cuando finalmente alguien las encuentra, todavía no se hacen públicas de inmediato . Comienza entonces una carrera discreta: entender qué permiten hacer, preparar una corrección y coordinar su divulgación antes de que la información llegue a quien pueda aprovecharla. Es un equilibrio delicado y bastante habitual en ciberseguridad. Lo que resulta mucho menos habitual es descubrir después que alguien ya estaba probando suerte cuando, en teoría, casi nadie fuera de ese círculo debía saber lo suficiente. Eso es precisamente lo que Amazon Threat Intelligence asegura haber observado con PHP2Shell . Su red MadPot registró el 17 de octubre un intento de aprovechar estas vulnerabilidades, cuatro días antes de la divulgación pública coordinada y de la publicación de los parches el día 21. Amazon considera que las características de aquella actividad apuntan a un actor malicioso, pero hay una pieza que sigue sin encajar: no sabe c.