> ## Content Index > Fetch the complete content index at: https://fomoera.com/llms.txt > Use this file to discover other available public pages before exploring further. # AWS detecta un intento de explotar PHP2Shell cuatro días antes de los parches - URL: https://fomoera.com/php2shell-intento-previo-parches/ - Published: 2026-10-22T15:40:00.000Z - Updated: 2026-10-22T15:40:00.000Z - Description: Amazon encontró en su red de señuelos actividad del 17 de octubre. El hallazgo amplía el periodo que deben revisar los administradores, mientras sigue sin aclararse si esos intentos habrían funcionado contra servidores reales. - Author: Patricia Rodriguez - Tags: Tecnología y Ciencia, Ciberseguridad Amazon Web Services (AWS) identificó un intento de explotar las vulnerabilidades PHP2Shell fechado el **17 de octubre de 2026**, cuatro días antes de la publicación de los parches. El hallazgo lleva a la compañía a recomendar que las investigaciones de posibles intrusiones abarquen al menos esa fecha, en lugar de comenzar con la divulgación técnica del 21 de octubre. La actividad quedó registrada en MadPot, la red de sistemas señuelo de Amazon que permite estudiar ataques. Según [WIRED](https://www.wired.com/story/hackers-exploited-the-php-vulnerabilities-days-before-they-were-patched/?ref=fomoera.com), sus analistas localizaron el intento el 21 de octubre al revisar los registros de días anteriores. ## AWS desconoce cómo obtuvo el atacante la información El intento del día 17 procedía de una dirección IP asociada con una red comercial de anonimización. AWS considera que el ataque contra un señuelo durante el embargo apunta a un actor malicioso, pero desconoce cómo consiguió información para intentar explotar los fallos antes de su divulgación técnica. En las primeras horas del 21 de octubre, la compañía observó más intentos desde otras infraestructuras de anonimización. Las diferencias entre las cargas de ataque y los servicios utilizados sugieren la participación de varios actores, según su análisis. AWS describió la explotación como extendida al publicar su informe del día 21\. Aun así, mantiene abierta la investigación y advierte que desconoce si los intentos registrados habrían tenido éxito contra sistemas reales. Cloudflare aportó otra observación de ataques: reportó tráfico dirigido contra sus clientes y cambios en las cargas para intentar eludir sus defensas. La empresa insiste en que su firewall de aplicaciones web, o WAF, aporta una capa adicional de protección y que los administradores deben aplicar igualmente la actualización de PHP. ## El parche y la búsqueda de intrusiones cubren riesgos distintos Las fallas, identificadas como **CVE-2026-109618 y CVE-2026-109619**, afectan al software PHP que se ejecuta en el servidor y pueden permitir ejecutar código sin autenticación. Actualizar el código de una web o sus plugins por sí solo no las corrige, explica Cloudflare. PHP publicó las versiones corregidas **8.5.12, 8.4.27, 8.3.36 y 8.2.35** el 21 de octubre. Como contamos en nuestra [cobertura de los parches de PHP2Shell](https://fomoera.com/php-parches-php2shell/), la corrección corresponde al administrador del servidor o al proveedor de alojamiento. El proyecto advierte que las medidas temporales reducen la exposición a vías concretas de ataque, mientras que la actualización es la solución completa. La revisión de lo ocurrido antes de actualizar responde a otro problema. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) aconseja evaluar posibles intrusiones previas y buscar puertas traseras en los sistemas que no puedan actualizarse o desconectarse de inmediato. Al combinar esa recomendación con la fecha que aporta MadPot, la investigación deja de limitarse al periodo posterior al anuncio público. Para PHP2Shell, AWS sitúa el inicio de la revisión al menos en el 17 de octubre y recomienda comprobar los registros del servidor, las modificaciones de archivos y la ejecución inesperada de procesos. *Fuentes:* [1](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/?ref=fomoera.com), [2](https://www.php.net/archive/2026.php?ref=fomoera.com), [3](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/?ref=fomoera.com), [4](https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php?ref=fomoera.com)