Amazon Threat Intelligence afirmó que sus honeypots MadPot registraron el 17 de octubre de 2026 un intento de explotación de PHP2Shell, cuatro días antes de la divulgación pública y de la publicación de los parches, el 21 de octubre. MadPot es una red de sistemas señuelo. AWS dijo que no estaba claro si el intento habría tenido éxito en sistemas reales.
La dirección IP de origen estaba asociada a una red comercial de anonimización. Amazon consideró que esa relación apuntaba a la actividad de un actor de amenazas, pero no identificó quién estaba detrás ni cómo obtuvo información sobre el exploit.
Qué recomienda AWS revisar desde el 17 de octubre
Amazon recomienda revisar la actividad desde el 17 de octubre y buscar estas señales:
| Señal | Qué revisar |
| Solicitudes POST | Peticiones que contengan PHP_SESSION_UPLOAD_PROGRESS |
| Actividad del servidor web | Actividad sospechosa |
| Procesos | Ejecuciones inesperadas |
| Archivos | Modificaciones inesperadas |
Las direcciones IP que Amazon enumera incluyen infraestructura de anonimización compartida y no son exclusivas de esta actividad. AWS recomienda investigar las conexiones relacionadas, en lugar de bloquear automáticamente todas esas direcciones.
Versiones de PHP que corrigieron PHP2Shell
La PHP Foundation identificó dos vulnerabilidades críticas de ejecución remota de código: CVE-2026-109618, relacionada con corrupción por agotamiento de memoria, y CVE-2026-109619, asociada a estado global obsoleto y uso después de liberar memoria. PHP publicó las correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
NeoTeo ya explicó qué versiones de PHP corrigen los dos fallos y qué medidas provisionales recomendó el proyecto.
Cómo avanzó la divulgación pública
Los identificadores CVE empezaron a circular por internet alrededor de las 15:00 UTC del 20 de octubre, sin detalles técnicos, según la cronología de la PHP Foundation. A las 19:30 UTC, PHP publicó un preaviso y adelantó la fecha prevista para las correcciones del 22 al 21 de octubre, a las 14:00 UTC. Chainguard publicó imágenes con los parches a las 07:41 UTC del día 21, antes de la publicación coordinada de PHP.
