El equipo de investigación de Wiz ha documentado los intentos de explotación de las vulnerabilidades PHP2Shell (CVE-2026-109618 y CVE-2026-109619) tras su divulgación pública el 21 de octubre de 2026. Hasta la fecha, no se ha identificado un punto de demostración (PoC) público que logre una explotación completa y general contra objetivos arbitrarios, aunque se han captado múltiples intentos en entornos reales y en honeypots de la empresa.
Los datos de telemetría de Wiz muestran una reducción del 67% en el número diario de máquinas expuestas a internet vulnerables a estas vulnerabilidades en los últimos días. Además, la proporción de servidores con PHP 7.3 o versiones anteriores cayó del 8,3% al 5,7% en cinco días, lo que indica una mitigación activa por parte de las organizaciones mediante parches, actualizaciones y restricción de acceso a internet.
En cuanto a las técnicas de explotación, Wiz ha observado dos variantes de un kit de explotación de código abierto. La variante legada falló al exceder los límites de tamaño de solicitud configurados en el honeypot, mientras que la variante actual logró agotar consistentemente la memoria de PHP. Sin embargo, el segundo intento, diseñado para filtrar direcciones de memoria, fracasó en todos los casos capturados, ya que las conexiones se cerraban antes de que PHP pudiera escribir el estado de la sesión en el cookie PHPSESSID. Estos hallazgos detallan las barreras técnicas que impiden la cadena de explotación completa.