AWS detectó ataques contra fallos de PHP antes del anuncio público
La actividad observada en servidores señuelo comenzó el 17 de octubre. AWS no ha determinado si los intentos podían comprometer sistemas reales ni cómo se conocieron los fallos.
Un actor intentó explotar el 17 de octubre dos vulnerabilidades críticas de PHP, cuatro días antes de que se hicieran públicas, según una investigación de Amazon Web Services (AWS). La empresa detectó la actividad en uno de sus servidores señuelo, pero dijo que todavía no está claro cómo se obtuvo información sobre el método de ataque ni si los intentos habrían funcionado en sistemas reales.
AWS observó intentos antes de la divulgación
Los fallos, conocidos en conjunto como PHP2Shell, fueron objeto de intentos de explotación mientras aún estaban bajo embargo. AWS indicó que el ataque del 17 de octubre procedía de una dirección IP vinculada a una red comercial de anonimización, como un servicio de intermediación o una red privada virtual.
La investigación de AWS sobre la actividad en sus servidores señuelo también registró múltiples intentos en las horas previas a la divulgación pública, algunos ocultos mediante distintos servicios de anonimización. La empresa señaló que los objetivos parecían diferentes, lo que podría apuntar a varios actores.
CJ Moses, director de seguridad de la información de AWS, afirmó que el análisis técnico sigue en curso y que no se ha establecido si los intentos habrían tenido éxito en sistemas reales. También dijo que PHP2Shell ya se utiliza ampliamente en ataques en internet.
La Fundación PHP no reportó ejecuciones exitosas
Elizabeth Barron, directora ejecutiva de la Fundación PHP, dijo que la organización no conocía la investigación de AWS antes de su publicación. Añadió que, hasta donde sabía la fundación, no se había registrado ningún intento exitoso de ejecución remota de código, aunque calificó de imprescindible instalar la actualización.
Las primeras pruebas públicas para explotar PHP2Shell aparecieron el miércoles de la divulgación oficial, algunas aparentemente horas antes del anuncio previsto para las 8:00, hora de Ciudad de México. La información disponible no explica cómo se conoció el método antes de que se hiciera público.
AWS advierte que el análisis de fallos se acelera
Moses sostuvo que el tiempo entre la publicación de un parche y la creación de un método de explotación funcional se está reduciendo. Según su explicación, las herramientas de inteligencia artificial pueden facilitar que más actores analicen cambios en los parches o avisos de seguridad y desarrollen métodos de ataque en horas o minutos después de la divulgación técnica.
El director de seguridad de AWS planteó que estos cambios exigen revisar la divulgación coordinada de vulnerabilidades. Su explicación es una evaluación de la empresa; la investigación no identifica al actor que inició el intento del 17 de octubre ni determina cómo obtuvo información previa.
Contenido redactado con asistencia de un LLM.
Preguntas frecuentes
¿De qué trata esta nota?+
Un actor intentó explotar el 17 de octubre dos vulnerabilidades críticas de PHP, cuatro días antes de que se hicieran públicas, según una investigación de Amazon Web Services (AWS). La empresa detectó la actividad en uno de sus servidores señuelo, pero dijo que todavía no está claro cómo se obtuvo información sobre el método de ataque ni si los intentos habrían funcionado en sistemas reales.
¿Qué se sabe sobre «AWS observó intentos antes de la divulgación»?+
Los fallos, conocidos en conjunto como PHP2Shell, fueron objeto de intentos de explotación mientras aún estaban bajo embargo. AWS indicó que el ataque del 17 de octubre procedía de una dirección IP vinculada a una red comercial de anonimización, como un servicio de intermediación o una red privada virtual.
¿Qué se sabe sobre «La Fundación PHP no reportó ejecuciones exitosas»?+
Elizabeth Barron, directora ejecutiva de la Fundación PHP, dijo que la organización no conocía la investigación de AWS antes de su publicación. Añadió que, hasta donde sabía la fundación, no se había registrado ningún intento exitoso de ejecución remota de código, aunque calificó de imprescindible instalar la actualización.
