PHP publicó correcciones de emergencia para dos fallos críticos que podrían permitir a los atacantes ejecutar código en servidores web sin iniciar sesión, mientras CISA instaba a instalar las actualizaciones de inmediato y Amazon informaba de un intento de explotación cuatro días antes de que los fallos se hicieran públicos.
Los fallos, identificados como CVE-2026-109618 y CVE-2026-109619 y denominados “PHP2Shell”, afectan a las instalaciones de PHP que gestionan solicitudes web. Tienen una puntuación de gravedad de 9,2 sobre 10. CISA instó a las organizaciones a dar prioridad a los sistemas accesibles a través de Internet e instalar las versiones 8.5.12, 8.4.27, 8.3.36 o 8.2.35 de PHP.
CISA también recomendó desconectar los sistemas de la red si no se pueden actualizar rápidamente. Amazon afirmó que su red de sistemas señuelo MadPot registró un intento de ataque el 17 de octubre. Los fallos se hicieron públicos el 21 de octubre.
Amazon desconoce cómo obtuvo la información el atacante. La empresa tampoco sabe si el intento habría funcionado contra un sistema real. La divulgación se produjo tras una filtración de detalles sobre los fallos, lo que llevó a PHP a publicar las correcciones un día antes de lo previsto.
Cloudflare informó de que los intentos de ataque pasaron de miles antes de la divulgación a millones después. Según la empresa, los atacantes modificaron los datos que enviaban en sus ataques para intentar eludir las defensas. El aumento muestra la rapidez con que pueden actuar los atacantes cuando se difunde información sobre un fallo grave.
No está claro si la actividad anterior a la divulgación pública provocó alguna vulneración confirmada de sistemas.