Amazon afirma que MadPot, su sistema de honeypots o servidores señuelo, registró un intento de explotación de PHP2Shell el 17 de octubre de 2026. PHP publicó las correcciones para las dos vulnerabilidades el 21 de octubre. Ese mismo día, Amazon describió más actividad contra sus sensores; su informe no confirma intrusiones en sistemas reales.
Qué registró MadPot antes del aviso público
Amazon sitúa el intento contra un honeypot el 17 de octubre, cuatro días antes de que PHP levantara el embargo y publicara las correcciones, el 21 de octubre a las 14:00 UTC. En su informe sobre la actividad de MadPot, también fecha los primeros exploits de prueba de concepto alrededor de las 02:00 UTC del 21 de octubre y otros intentos contra sus sensores entre las 02:00 y las 08:00 UTC. Después de las 14:00 UTC, registró más actividad.
Las observaciones describen intentos dirigidos a honeypots y sensores de Amazon. La empresa no determinó cómo obtuvo el actor la información sobre las vulnerabilidades ni si los intentos habrían funcionado contra sistemas reales.
Qué son las vulnerabilidades PHP2Shell
PHP2Shell es el nombre colectivo de dos vulnerabilidades críticas del núcleo de PHP: CVE-2026-109618 y CVE-2026-109619. PHP asignó a cada una una puntuación CVSS 4.0 de 9,2 y señaló que pueden permitir ejecución remota de código sin autenticación en instalaciones que procesan solicitudes web.
CVE-2026-109618 afecta al manejo de errores por falta de memoria: puede dejar datos de una solicitud parcialmente inicializados y provocar que PHP los procese durante el cierre de esa solicitud. CVE-2026-109619 implica un uso después de liberar memoria, conocido como use-after-free: un proceso de PHP puede conservar una referencia a datos de una solicitud ya liberados y reutilizar ese estado con una solicitud posterior.
PHP incluyó en el alcance PHP-FPM, Apache mod_php, php-cgi, FrankenPHP y LiteSpeed, y calificó Apache mod_php como la configuración de mayor riesgo. Los detalles de explotación varían según la interfaz de servidor de PHP, o SAPI.
Versiones de PHP con las correcciones
El aviso oficial de PHP del 21 de octubre enumera estas versiones corregidas para ambos CVE: PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Los avisos de seguridad de CVE-2026-109618 y CVE-2026-109619 detallan las vulnerabilidades y las versiones afectadas.
PHP 8.1 y las ramas anteriores ya no reciben actualizaciones ordinarias del proyecto PHP. Algunas distribuciones y proveedores de soporte a largo plazo pueden incorporar correcciones (backports) a sus paquetes; PHP también proporcionó correcciones de código fuente para las ramas 7.4, 8.0 y 8.1. Por eso, en esas ramas el estado del paquete depende de las actualizaciones de su distribuidor.
Por qué un WAF no sustituye la actualización
PHP considera que instalar una versión corregida es la única solución completa. Los ajustes de configuración pueden reducir vías de ataque concretas, pero no hacen segura una instalación vulnerable; un cortafuegos de aplicaciones web (WAF) tampoco sustituye la corrección del software.
