Un grupo de investigación de Amazon Threat Intelligence detectó un intento de ataque cibernético ligado a las vulnerabilidades conocidas como PHP2Shell cuatro días antes de que se liberaran los parches oficiales y se hiciera el anuncio público del problema el pasado 21 de octubre.
LA TRAMPA DE AMAZON
La red MadPot, que funciona como un sistema de señuelos o honeypots para monitorear amenazas en la red, registró el pasado 17 de octubre una serie de movimientos sospechosos. Dicho intento de acceso provino de una dirección IP vinculada a una red comercial dedicada a la anonimización en internet.
A pesar de que este registro confirma la existencia de la actividad maliciosa, los expertos de la compañía tecnológica no tienen certeza de que algún servidor real haya terminado comprometido. Sin embargo, ante este panorama, las organizaciones e instituciones afectadas por los fallos de seguridad deben revisar exhaustivamente sus bitácoras y registros de actividad tomando como fecha de inicio el 17 de octubre, y no limitarse únicamente al día en que se emitió el aviso oficial.
CRONOLOGÍA DE LOS DESCUBRIMIENTOS
El origen de este problema se remonta al mes de agosto. El día 11 de ese mes, Calif alertó al equipo encargado de PHP sobre una falla de ejecución remota de código conectada a un inconveniente que los desarrolladores ya habían detectado previamente en 2024. De manera totalmente independiente, OpenAI llegó a la misma conclusión.
Posteriormente, el 19 de agosto, la firma Wiz arrancó su propia investigación, compartiendo sus conclusiones con el equipo de PHP el día 24. En varios de estos análisis, las herramientas de inteligencia artificial cumplieron un rol fundamental tanto para localizar los fallos como para diseñar las vías de explotación. No obstante, las autoridades en la materia no cuentan con elementos para asegurar que la inteligencia artificial esté relacionada con el misterioso ataque registrado el 17 de octubre.
GRAVEDAD Y FALLAS EN EL RUNTIME
Bajo la denominación PHP2Shell se agrupan un par de fallas críticas identificadas como CVE-2026-109618 y CVE-2026-109619, ambas con una calificación de gravedad de 9.2 sobre 10. Estas debilidades no se localizan en un complemento o aplicación externa, sino en el núcleo de PHP, específicamente en los apartados que controlan la gestión de la memoria y el manejo de errores.
De acuerdo con los reportes emitidos por Cloudflare, si se envía una solicitud HTTP diseñada con malas intenciones, el servidor puede llegar a procesar datos internos en condiciones inseguras, logrando ejecutar código sin la necesidad de contar con autenticación previa. Debido a que el fallo habita en el propio entorno de ejecución, el impacto es enorme y obliga a la actualización inmediata de cualquier instalación vulnerable.
FILTRACIONES Y EXPLOSIÓN DE ATAQUES
La divulgación controlada del problema comenzó a tambalearse el 20 de octubre. Cerca de las 15:00 UTC empezaron a difundirse los identificadores CVE sin especificaciones técnicas y con errores, lo que forzó a la PHP Foundation a adelantar la revelación oficial. Más tarde se filtró por error un video con una demostración y, finalmente, el 21 de octubre se publicaron imágenes con las correcciones antes de que concluyera el periodo de embargo acordado.
Una vez que la información se hizo masiva, el volumen de ataques se disparó de forma exponencial. Cloudflare pasó de contabilizar miles de intentos de intrusión horas antes del aviso, a registrar millones de ataques en cuestión de horas, mientras los piratas informáticos modificaban sus tácticas para burlar los filtros de seguridad. A pesar de tener clara la secuencia posterior, la gran interrogante sigue siendo quién estaba detrás del intento del 17 de octubre y cómo consiguió enterarse de la vulnerabilidad antes que nadie.
Por: Redacción de Noticia Digital (NoticiaDigital.com.mx)
