Publicado: octubre 22, 2026, 1:24 pm
Los fallos de seguridad de PHP que han provocado una alerta internacional ya estaban siendo utilizados en intentos de ataque antes de que se publicaran las actualizaciones para corregirlos. Así lo ha señalado Amazon, que ha publicado un comunicado en el que informa de que su división Amazon Threat Intelligence ha logrado identificar actividad desde el 17 de octubre, cuatro días antes de que se difundieran los detalles de las vulnerabilidades y sus parches.
Según este informe publicado por su equipo de inteligencia de amenazas, el intento se dirigió contra MadPot, su red de servidores señuelo: son sistemas preparados para atraer ataques y observar cómo se comportan sin exponer los servicios reales de los clientes.
La conexión procedía de una dirección IP asociada a una red comercial utilizada para ocultar el origen del tráfico. Amazon considera que las circunstancias apuntan a un atacante, aunque todavía no sabe cómo consiguió la información sobre los fallos antes de su divulgación.
Amazon también registró nuevos intentos durante la madrugada del 21 de octubre, antes de publicarse las correcciones, y las diferencias entre ellos sugieren la participación de varios atacantes, según el equipo investigador. Sin embargo, la empresa reconoce que el análisis continúa y que “no está claro si alguno de estos intentos habría tenido éxito en sistemas reales”.
Por su parte, Cloudflare ha confirmado que observó tráfico de ataque contra sus clientes antes del lanzamiento oficial de los parches. La compañía desplegó protecciones en sus cortafuegos, pero insiste en que estas medidas no sustituyen la actualización de PHP. Estas nuevas informaciones ayudan a entender por qué gobiernos, hospitales y colegios decidieron desconectar preventivamente sus webs: mientras sus responsables corregían los sistemas, mantenerlos accesibles desde internet podía permitir que alguien aprovechara las vulnerabilidades.
PHP es una de las tecnologías que permiten funcionar a numerosas páginas web. Los dos fallos, conocidos conjuntamente como PHP2Shell, pueden permitir que un atacante ejecute instrucciones en un servidor vulnerable sin identificarse previamente.
Quienes tengan una página o un comercio electrónico pueden consultar qué deben comprobar con su proveedor de alojamiento. La recomendación principal sigue siendo aplicar las versiones corregidas.
