Nuevos datos de inteligencia de amenazas de Amazon Web Services muestran que PHP2Shell fue objetivo de ataques antes de la publicación, el 21 de octubre de 2026, de los parches para dos vulnerabilidades críticas de PHP. AWS encontró el primer intento registrado en los registros de un honeypot, con fecha del 17 de octubre. La IP de origen estaba vinculada a una red comercial de anonimización, como un proxy o una VPN.

CJ Moses, director de seguridad de la información de AWS, dijo que el momento y el origen anonimizado apuntan a la actividad de un actor malicioso. Sigue sin saberse cómo obtuvo información sobre la explotación antes de la divulgación. En las horas previas al anuncio del 21 de octubre a las 10:00 ET, AWS registró más intentos. Llegaron a través de varios proveedores de anonimización y parecían perseguir objetivos distintos, una señal de que podían estar implicados varios actores. Los exploits públicos de prueba de concepto empezaron a circular ese mismo día, en algunos casos horas antes del anuncio.

AWS no ha podido determinar si los intentos observados tendrían éxito contra sistemas reales. La empresa afirma que PHP2Shell ya se explota de forma generalizada en Internet. Administradores y equipos de seguridad se apresuraron a instalar los parches. Algunos gobiernos y otras organizaciones desconectaron sitios web importantes como medida preventiva, antes de poder aplicar las correcciones. La PHP Foundation no había respondido de inmediato a la solicitud de comentarios de WIRED.

Para CJ Moses, el incidente demuestra que la divulgación coordinada de vulnerabilidades debe acelerarse. AWS sostiene que el análisis asistido por IA reduce el coste de convertir un diff de parche o un aviso de seguridad en un exploit funcional. El intervalo entre la divulgación y el ataque puede reducirse así de días a horas o minutos. Antes, los ataques solían aparecer después de una prueba de concepto pública y dependían de un grupo reducido de actores especializados.