Investigadores de Amazon Web Services (AWS) revelaron que un actor malicioso comenzó a explotar las vulnerabilidades críticas de PHP, denominadas colectivamente PHP2Shell, el 17 de octubre, cuatro días antes de la publicación pública de las correcciones. Este hallazgo, detectado mediante el análisis de actividad en un honeypot de AWS, sugiere que la explotación se realizó desde una red de anonimización comercial, aunque no se ha determinado con certeza cómo el atacante obtuvo el código de explotación antes de la divulgación oficial.
La investigación, publicada el miércoles por la noche, indica que los intentos de ataque fueron múltiples y procedían de diferentes proveedores de anonimización, lo que sugiere la presencia de varios actores distintos. CJ Moses, director de seguridad de la información de AWS, señaló que la explotación de PHP2Shell está ahora ocurriendo ampliamente en el entorno real. Aunque la Fundación PHP no respondió de inmediato a las solicitudes de comentario, AWS destaca que estos hallazgos subrayan la necesidad de acelerar la divulgación de vulnerabilidades. El análisis técnico revela que la inteligencia artificial está reduciendo el tiempo necesario para convertir un parche en una explotación funcional, permitiendo a actores menos técnicos desarrollar nuevas armas en cuestión de horas o minutos tras la divulgación de detalles técnicos.