Amazon Detectó Hackers Antes de que se Arreglaran las Vulnerabilidades de PHP

El 17 de octubre, el equipo de seguridad de Amazon descubrió intentos de hackeo dirigidos a explotar vulnerabilidades en el lenguaje de programación PHP. Esto ocurrió cuatro días antes de que se lanzara un parche público. Así lo informó CJ Moses, Director de Seguridad de la Información en Amazon Integrated Security.

Las nuevas vulnerabilidades, identificadas como CVE-2026-109618 y CVE-2026-109619, permiten a los atacantes ejecutar código en servidores vulnerables sin necesidad de iniciar sesión. Según Amazon, los exploits de prueba de concepto estaban circulando para las 2:00 UTC del 21 de octubre, aproximadamente 12 horas antes del lanzamiento oficial de los parches. “PHP2Shell está siendo ampliamente explotado en internet,” escribió Moses. También explicó por qué la ventana de oportunidad se está reduciendo: “El análisis de IA hace que sea más barato convertir un parche o recomendación en un exploit funcional.”

Las vulnerabilidades fueron descubiertas por Wiz, una empresa propiedad de Alphabet, utilizando su herramienta de IA propietaria, así como Gemini 4 Argon de Google y GPT-5.6 Sol de OpenAI. Según Wiz, las vulnerabilidades se remontan a PHP 5.4 y han estado ocultas en el código durante más de una década. “Aplicar la actualización de seguridad de PHP sigue siendo la única forma completa de abordar el problema,” señaló la firma.

Organizaciones, incluido el Centro Nacional de Seguridad Cibernética de los Países Bajos, el Puerto de Rotterdam, el portal Overheid nl y varios hospitales, cerraron temporalmente sitios web el 21 de octubre. A las 14:00 UTC del mismo día, PHP lanzó las versiones parcheadas 8.5.12, 8.4.27, 8.3.36 y 8.2.35.

Según W3Techs, PHP se utiliza en aproximadamente el 75% de los sitios web con un lenguaje de programación reconocible. Mientras tanto, Censys estima que de 2.6 millones de hosts, aproximadamente 1.5 millones (aproximadamente el 58%) están ejecutando una versión de PHP sin un parche disponible, no pueden simplemente ser parcheados y requieren una actualización completa a una versión más reciente.

Según Tiffany Farriss, CEO interina de la Asociación Drupal, “todos los servidores que utilizan cualquier versión de PHP lanzada en los últimos 20 años serán vulnerables.” Costa Raju, cofundador de TLP:Black, advirtió que la siguiente fase podría resultar en una “compromiso masivo de cada servidor web vulnerable en internet.”

Cloudflare informó que los atacantes han comenzado a cambiar las cargas útiles para eludir los filtros. Para aquellos que usan PHP 8.2 o versiones anteriores, se recomienda programar una actualización: el soporte para PHP 8.2 finalizará el 31 de diciembre.