Fallos críticos de PHP: alguien intentó explotarlos cuatro días antes de que se hicieran públicos
Amazon detectó intentos de explotación de las vulnerabilidades CVE-2026-109618 y CVE-2026-109619 el 17 de octubre, cuando todavía no había detalles públicos. El embargo se rompió y los ataques se multiplicaron por millones.
Amazon Threat Intelligence registró el 17 de octubre intentos de explotación de dos vulnerabilidades críticas en PHP que recién se hicieron públicas cuatro días después. La observación proviene de su red de honeypots MadPot, y aunque no confirma que haya servidores reales comprometidos, sí obliga a revisar logs desde esa fecha y no solo desde el anuncio oficial del 21.
Las fallas, identificadas como CVE-2026-109618 y CVE-2026-109619, tienen un puntaje de 9.2 sobre 10. Afectan el núcleo del runtime de PHP, específicamente en la gestión de memoria y el manejo de errores. Bajo ciertas condiciones, una petición HTTP maliciosa puede llevar al servidor a usar datos internos en estado inseguro y ejecutar código arbitrario sin necesidad de autenticación.
El descubrimiento se remonta a agosto. Calif notificó al equipo de PHP el 11 de ese mes una vía de ejecución remota de código. OpenAI y Wiz llegaron de forma independiente a hallazgos similares en las semanas siguientes. En varias de esas investigaciones la inteligencia artificial jugó un rol en la validación de exploits complejos, aunque no hay evidencia de que eso explique la filtración temprana.
El embargo coordinado empezó a fallar el 20 de octubre con la circulación de los IDs de los CVE acompañados de información errónea. Eso obligó a adelantar la publicación. Luego hubo un video de demostración que se filtró por error y, finalmente, imágenes de Chainguard con el parche antes de tiempo. Ninguno de esos incidentes explica la actividad del 17.
Una vez que se levantó el embargo, la escalada fue inmediata. Cloudflare pasó de miles de intentos en las horas previas a decenas de miles en 45 minutos, cientos de miles en dos horas y millones poco después. Los atacantes incluso empezaron a modificar sus payloads para evadir las defensas que se iban desplegando.
Desde el punto de vista práctico, las organizaciones que usan PHP deberían revisar sus registros al menos desde el 17 de octubre buscando signos de explotación. El equipo de PHP y Cloudflare recomiendan actualizar a las versiones parcheadas lo antes posible, ya que el problema está en el propio motor y afecta a una gran cantidad de aplicaciones web.
El misterio central sigue sin resolverse: cómo obtuvo el actor malicioso información suficiente para intentar explotar las vulnerabilidades cuatro días antes de que hubiera detalles públicos. La IP involucrada usaba una red de anonimización comercial, lo que refuerza la hipótesis de un atacante intencional, pero no aclara la fuente del conocimiento previo.
Este caso muestra cómo los embargos de vulnerabilidades críticas son cada vez más frágiles, especialmente cuando entran en juego investigadores independientes, empresas de seguridad y herramientas de IA que aceleran el descubrimiento y la validación de exploits. Para quienes mantienen servidores PHP, la lección es clara: parchear rápido y mirar los logs con algo más de profundidad temporal.