Los fallos críticos de PHP acaban de hacerse públicos. Lo misterioso es que alguien ya intentaba explotarlos cuatro días antes

Hay vulnerabilidades que pueden permanecer ocultas durante años y, cuando finalmente alguien las encuentra, todavía no se hacen públicas de inmediato .

Comienza entonces una carrera discreta: entender qué permiten hacer, preparar una corrección y coordinar su divulgación antes de que la información llegue a quien pueda aprovecharla.

Es un equilibrio delicado y bastante habitual en ciberseguridad.

Lo que resulta mucho menos habitual es descubrir después que alguien ya estaba probando suerte cuando, en teoría, casi nadie fuera de ese círculo debía saber lo suficiente.

Eso es precisamente lo que Amazon Threat Intelligence asegura haber observado con PHP2Shell .

Su red MadPot registró el 17 de octubre un intento de aprovechar estas vulnerabilidades, cuatro días antes de la divulgación pública coordinada y de la publicación de los parches el día 21.

Amazon considera que las características de aquella actividad apuntan a un actor malicioso, pero hay una pieza que sigue sin encajar: no sabe cómo obtuvo información sobre el exploit antes de que fuera pública.

MadPot no es un servidor de producción comprometido, sino una red de honeypots, sistemas señuelo que Amazon expone para atraer actividad maliciosa y observar cómo se comportan quienes intentan atacarlos.

El intento procedía además de una IP asociada a una red comercial de anonimización , uno de los indicios por los que la compañía considera probable que detrás hubiera un actor malicioso.

Esa telemetría demuestra que el intento existió, pero no que una web real llegara a ser vulnerada.

Para Amazon, la consecuencia práctica está en otro lugar: las organizaciones deberían revisar sus registros al menos desde el 17 de octubre, no únicamente desde la publicación del aviso.

Alguien llegó antes que todos Para entender cómo hemos llegado hasta aquí hay que retroceder hasta agosto.

El 11 de ese mes, Calif notificó al equipo de PHP una vía de ejecución remota de código vinculada a un problema que los mantenedores ya habían observado en 2024, y OpenAI llegó de forma independiente a la misma causa.

Wiz comenzó su investigación independiente el 19 de agosto y comunicó sus hallazgos al equipo de PHP el día 24.