Amazon detectó la explotación de PHP2Shell cuatro días antes de que se hiciera pública
Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
La telemetría de la red de honeypots MadPot de Amazon registró el 17 de octubre de 2026 un intento de explotación de PHP2Shell, vinculado a CVE-2026-109618 y CVE-2026-109619, desde una IP de una red comercial de anonimización, mientras la vulnerabilidad seguía bajo embargo. Tras levantarse el embargo el 21 de octubre, aparecieron exploits de prueba de concepto en cuestión de horas y los ataques contra los sensores se multiplicaron. Amazon advierte que la explotación puede preceder al aviso público y que el tiempo entre parche y exploit se acorta por el análisis asistido por IA.
Un embargo protege a los defensores solo hasta que alguien más encuentra el mismo fallo.
- andyvanosdale
Si esto se estaba sondeando y/o explotando el 17 de octubre, eso arroja sombras sobre el equipo de PHP por arrojar sombras sobre Chainguard en su anuncio público.
Básicamente, el equipo de PHP está desviando y abdicando de sus responsabilidades en todo este lío que crearon. "Chainguard rompió el embargo", "apóyennos con dinero", "solo somos voluntarios", "teníamos conocimiento hace años pero no un POC porque queríamos lanzar funcionalidades y no parches de seguridad". Todo son evasivas.
Este fiasco me demuestra que nunca usaría PHP para ningún proyecto en el que participe. El equipo de PHP la cagó de forma monumental, y están desviando la culpa a diestra y siniestra, hacia arriba y hacia abajo.
- hyperpape
También hay un tuit de Matthew Prince que dice que Cloudflare vio miles de intentos antes del anuncio, https://x.com/eastdakota/status/2113079352682570051, luego decenas de miles después del anuncio, y ahora millones.
Lamentablemente, si lees el anuncio como referido a las 14:00 UTC, eso es varias horas después de que Chainguard publicara sus imágenes. No sé si es plausible que la gente viera las builds de Chainguard, entendiera el problema a partir de ellas y construyera exploits, pero una cronología precisa ayudaría a entenderlo mejor.
- VladVladikoff
He visto sondeos de esto en los logs del servidor pero no una explotación real. Creo que las botnets lo añadieron a sus escáneres de vulnerabilidades pero todavía tengo que ver algún ejemplo de un exploit que funcione de verdad. Hay cientos de intentos hechos con vibe coding en github pero ninguno funciona según tengo entendido. Me encantaría que alguien me demostrara lo contrario aquí.
Además, este post de Amazon da vergüenza. Sabían de esto desde el 17 y aun así no cumplieron con el plazo del embargo ni parchearon Amazon Linux (su parche está previsto para hoy, 22 de octubre).
- decidu0us9034
"Intento de explotación" carece de claridad. Los escáneres bot generan constantemente volúmenes enormes de tráfico extraño. ¿Alguien tiene un exploit portable y fiable que funcione en condiciones reales heterogéneas y no en un entorno de laboratorio, y es eso siquiera factible? no parece que lo sea. los LLM automatizan el desarrollo de exploits prácticos pero no eliminan todas las restricciones que los hacen difíciles desde el principio. siento que la gente se está perdiendo esto, no sé
- menomatter
¿Distinguen entre intentos e infiltración exitosa? Intento entender si este exploit es fácil de usar o no. Ayer hubo un artículo aquí que sostenía que el exploit no era fácil de usar y necesitaba LFI