✨︎ Resumen (TL;DR):
- AWS registró el intento del 17 de octubre de 2026 en MadPot, cuatro días antes de los parches.
- PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026.
- Los administradores deben revisar posibles intrusiones desde el 17 de octubre y comprobar registros del servidor, modificaciones de archivos y procesos inesperados.
Amazon Web Services (AWS) identificó un intento de explotar las vulnerabilidades PHP2Shell fechado el 17 de octubre de 2026, cuatro días antes de que PHP publicara sus versiones corregidas el 21 de octubre de 2026. MadPot registró la actividad y AWS pidió que la búsqueda de posibles intrusiones abarque al menos esa fecha, no solo la divulgación técnica del 21 de octubre.
MadPot es una red de sistemas señuelo que Amazon usa para estudiar ataques. Los analistas localizaron el intento el 21 de octubre de 2026 al revisar los registros de días anteriores. La dirección IP estaba asociada con una red comercial de anonimización.
AWS todavía desconoce cómo obtuvo el atacante la información para intentar explotar las fallas durante el embargo. La compañía considera que atacar un señuelo antes de la divulgación técnica apunta a un actor malicioso, pero no ha establecido cómo consiguió esos datos.
En las primeras horas del 21 de octubre de 2026, AWS observó más intentos desde otras infraestructuras de anonimización. Las diferencias entre las cargas de ataque y los servicios utilizados sugieren la participación de varios actores.
Al publicar su informe del 21 de octubre de 2026, AWS describió la explotación como extendida. La investigación sigue abierta y la empresa no sabe si los intentos registrados habrían tenido éxito contra sistemas reales.
El parche y la investigación cubren riesgos distintos
Cloudflare reportó tráfico dirigido contra sus clientes y cambios en las cargas de ataque para intentar eludir sus defensas. Un WAF es un firewall de aplicaciones web que aporta una capa adicional de protección, pero los administradores deben aplicar de todos modos la actualización de PHP.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, afectan al software PHP que corre en el servidor y pueden permitir la ejecución de código sin autenticación. Actualizar el código de una página web o sus plugins por sí solo no corrige el problema.
PHP publicó las versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35 el 21 de octubre de 2026. La actualización corresponde al administrador del servidor o al proveedor de alojamiento. Las medidas temporales pueden reducir la exposición a vías concretas de ataque, pero la actualización es la solución completa.
AWS recomienda revisar desde el 17 de octubre
La búsqueda de actividad previa atiende un riesgo distinto al parcheo. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) aconseja evaluar posibles intrusiones anteriores y buscar puertas traseras en los sistemas que no puedan actualizarse o desconectarse de inmediato.
Al combinar esa recomendación con el registro de MadPot, el periodo de revisión se extiende más allá del anuncio público del 21 de octubre de 2026. AWS recomienda revisar los registros del servidor, las modificaciones de archivos y la ejecución inesperada de procesos desde el 17 de octubre de 2026, como mínimo.
AWS aún no puede confirmar si los intentos registrados habrían funcionado en servidores reales. Para los administradores, corregir PHP y buscar señales de acceso previo son tareas separadas.
