• Amazon Threat Intelligence detectó el 17 de octubre de 2026 un intento de explotar PHP2Shell contra su sistema de señuelos MadPot, cuatro días antes de que se divulgaran las vulnerabilidades y se publicaran sus parches.
  • El intento se originó en una dirección IP asociada a una red comercial de anonimización, como las utilizadas por proxies o VPN.
  • Amazon no confirmó que se ejecutara código en un sistema real: el registro corresponde a un intento contra MadPot, no demuestra la vulneración de un servidor en producción.

¿Qué se sabe del intento?

  • CJ Moses, director de seguridad de la información de AWS, dijo que el ataque contra un señuelo mientras los fallos estaban bajo embargo sugiere la intervención de un actor de amenazas. Amazon no aclaró cómo pudo obtener información antes de la divulgación.
  • Un portavoz de Amazon describió el episodio como una prueba aislada. MadPot es un sistema de señuelos de AWS que atrae a posibles atacantes para observar sus métodos.

¿Qué ocurrió tras la divulgación?

  • El 21 de octubre, The PHP Group publicó dos vulnerabilidades críticas del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619; ese mismo día se difundieron las actualizaciones para corregirlas. Los fallos pueden permitir ejecutar código de forma remota y sin autenticación en sistemas afectados.
  • Amazon también detectó el 21 de octubre múltiples pruebas de concepto y otros intentos contra MadPot desde otras direcciones de infraestructura anonimizada.
  • Elizabeth Barron, directora ejecutiva de la PHP Foundation, afirmó que, hasta donde sabía la organización, no se había producido ningún intento exitoso de ejecución remota de código.