Los dos fallos críticos que afectan al núcleo de PHP, catalogados bajo los CVE-2026-109618 y CVE-2026-109619, se hicieron públicos el 21 de octubre tras una divulgación coordinada entre la PHP Foundation, Cloudflare y otras entidades. Ambos vulneran la gestión de memoria del runtime y permiten la ejecución remota de código mediante una petición HTTP especialmente diseñada, lo que los sitúa con una puntuación de 9.2 sobre 10 en la escala CVSS.
Lo sorprendente es que Amazon Threat Intelligence detectó un intento de explotación el 17 de octubre, cuatro días antes de que se revelara cualquier detalle técnico. La red de honeypots MadPot, utilizada por Amazon para atraer y registrar actividades maliciosas, capturó una petición proveniente de una dirección IP vinculada a un servicio de anonimización. La compañía interpreta este hallazgo como señal de un actor malicioso que, de alguna forma, obtuvo información del exploit antes de que se hiciera público.
Este descubrimiento pone de relieve la delicada carrera que se desata tras el hallazgo de vulnerabilidades: los investigadores deben comprender el alcance del fallo, desarrollar un parche y coordinar su divulgación antes de que los atacantes lo aprovechen. En este caso, la coordinación se vio comprometida cuando, el 20 de octubre, se filtraron los identificadores de los CVE sin datos técnicos y, posteriormente, un video de demostración de Calif se difundió por error, obligando a adelantar la publicación del parche.
El proceso de descubrimiento de los fallos se remonta a agosto. El 11 de ese mes, el investigador Calif notificó a los mantenedores de PHP una vía de ejecución remota, mientras que OpenAI llegó de forma independiente a la misma conclusión. Wiz inició su investigación el 19 de agosto y compartió sus hallazgos el 24. La inteligencia artificial jugó un papel importante en la detección y validación de estas vulnerabilidades, aunque no se ha demostrado que explique el ataque del 17 de octubre.
Una vez que el parche se publicó, la actividad maliciosa se disparó. Cloudflare reportó miles de intentos en las diez horas previas al anuncio, que se multiplicaron a decenas de miles en los primeros 45 minutos y a millones en pocas horas. Los atacantes modificaron sus cargas para evadir las nuevas defensas, mientras que Amazon observó la rápida proliferación de pruebas de concepto tras el levantamiento del embargo.
Ante este escenario, la recomendación es clara: todas las organizaciones que utilicen PHP deben revisar sus registros desde el 17 de octubre y aplicar de inmediato las actualizaciones proporcionadas. La incertidumbre sobre quién estuvo detrás del intento previo y cómo obtuvo el exploit permanece, subrayando la necesidad de una vigilancia constante en el ecosistema de ciberseguridad.
Fuente: xataka