As dúas vulnerabilidades críticas de execución remota de código (RCE) coñecidas como PHP2Shell, identificadas como CVE-2026-109618 e CVE-2026-109619, comezaron a ser obxecto de intentos de explotación antes de que os seus parches estivesen dispoñibles publicamente. Segundo os datos de Amazon, a primeira actividade detectada contra un sistema reclamo produciuse o 17 de outubro, catro días antes da publicación das correccións.
A orixe do primeiro intento foi unha rede comercial de anonimización. Amazon considera que o ataque apunta á intervención dun actor malicioso, aínda que non puido determinar como obtivo información sobre as vulnerabilidades antes de que se levantase o embargo de seguridade.
O 20 de outubro, un día antes da publicación dos parches, ambas as dúas vulnerabilidades filtráronse en Internet, o que acelerou a circulación de probas de concepto (PoC) destinadas a explotalas. Amazon identificou varias destas ferramentas unhas 12 horas antes da divulgación pública, procedentes de distintas infraestruturas anonimizadas e con cargas útiles diferentes, un indicio da participación de varios actores.
Tras a publicación das correccións o 21 de outubro, os intentos multiplicáronse. Cloudflare detectou miles de peticións de explotación durante as dez horas anteriores ao anuncio público, unha cifra que aumentou a decenas de miles nos primeiros 45 minutos posteriores, a centos de miles en dúas horas e, posteriormente, a millóns.
WatchTowr tamén observou unha campaña de explotación masiva, aínda que sinalou que boa parte das probas de concepto difundidas non conseguían executar código remoto: algunhas non funcionaban, outras limitábanse a comprobar diferenzas nos tempos de resposta e outras provocaban erros nos sistemas obxectivo. Isto non elimina o risco asociado ás vulnerabilidades nin a posibilidade de que aparezan ferramentas máis eficaces.
Algúns expertos comparan o alcance potencial de PHP2Shell co da vulnerabilidade Log4Shell, que afectou a unha ampla variedade de aplicacións que incorporaban a biblioteca Log4j. A comparación baséase na dificultade de localizar todos os sistemas afectados e na presenza de instalacións antigas sen solucións de seguridade dispoñibles.
