Cronología
Cronología de PHP2Shell: filtración, parches e intentos de explotación
Las horas figuran tal como las da la fuente citada. Las 13:40 UTC de ENISA y el embargo de las 14:00 UTC de AWS aparecen ambos porque ambos documentos existen. No es un registro de incidentes de sensores propios.
Última actualización
2024 y después agosto de 2026
Primeros indicios según la PHP Foundation
The Record informa de que la PHP Foundation dijo que los indicios de los fallos aparecieron en 2024 y que una revisión con IA dio la alarma por primera vez en agosto de 2026. No hemos verificado esta cronología interna más allá del relato de The Record.
17 de octubre de 2026
Intento en AWS MadPot durante el embargo
Amazon Threat Intelligence indica que un honeypot vio un intento de explotación de PHP2Shell desde una dirección de una red de anonimización comercial, cuatro días antes de la divulgación. No está claro cómo se filtró la información del exploit ni si el intento habría funcionado en un sistema real.
20 de octubre de 2026
Informes de la filtración y anuncio de una versión de emergencia
La FAQ de watchTowr está fechada a las 19:35 UTC y entonces esperaba un anuncio del fabricante el 22 de octubre. Según Tanium, PHP anunció el 20 de octubre una versión de emergencia tras la filtración, y el CERT-EU emitió el aviso 2026-018 recomendando aislar las aplicaciones PHP expuestas públicamente; este dato procede solo de Tanium. ThreatCluster indica que la versión fuera de calendario se anunció el 20 de octubre para el 21 de octubre a las 14:00 UTC y que los detalles técnicos se filtraron horas antes.
21 de octubre de 2026, 02:00–08:00 UTC
Exploits de prueba de concepto antes del fin del embargo
Según AWS, los primeros exploits de prueba de concepto aparecieron hacia las 02:00 UTC, con más intentos en MadPot desde otra infraestructura anonimizada hasta cerca de las 08:00 UTC. AWS interpreta la diversidad de payloads e infraestructura como señal de varios actores. El éxito en sistemas reales se describió como incierto.
21 de octubre de 2026, 03:02 UTC
Reglas WAF de Cloudflare ya activas
Según Cloudflare, los clientes con planes WAF gratuitos y de pago estaban protegidos por defecto desde las 03:02 UTC, unas nueve horas antes de la divulgación según Cloudflare; las reglas se desarrollaban desde principios de octubre con la PHP Foundation, Wiz y OpenAI. Cloudflare vio tráfico de ataque y cambios en los payloads dirigidos contra las reglas.
21 de octubre de 2026, 13:40 y 14:00 UTC
Publicación de los parches
Según la declaración conjunta de ENISA, el equipo de seguridad de PHP publicó las actualizaciones a las 13:40 UTC. AWS indica que el embargo estaba fijado a las 14:00 UTC y que la publicación se produjo entonces. php.net, la PHP Foundation, la CISA y el Centro Canadiense de Ciberseguridad citan como versiones corregidas 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Tanium cita además builds para Windows a las 13:47 UTC y una entrada de la NVD a las 14:17 UTC; no hemos verificado estas horas por nuestra cuenta.
21 de octubre de 2026, más tarde ese día
Alertas de las autoridades y declaraciones sobre explotación
La CISA, ENISA, el NCSC británico y el Centro Canadiense de Ciberseguridad publican alertas. La CISA no había observado explotación hasta su publicación. El centro canadiense cita informes de fuentes abiertas sobre un PoC sin haber constatado por sí mismo explotación activa. watchTowr informa de intentos en sus sensores; según SecurityWeek, sin explotación exitosa. Situación de Expel a las 20:00 UTC: ninguna CVE en el KEV, ninguna explotación confirmada en clientes. Tras el embargo, AWS habla de explotación generalizada, refiriéndose a los intentos con los nuevos PoC, distinta de un éxito confirmado en sistemas reales.
22 de octubre de 2026
Cierre de edición de este sitio
La actualización de la FAQ de watchTowr de ese día sigue indicando que las CVE no están en el KEV de la CISA. Nuestras páginas se basan en las fuentes disponibles a 22 de octubre de 2026. Si más adelante se produce una inclusión en el KEV o una intrusión confirmada, los avisos de la CISA y del proyecto PHP prevalecen sobre esta cronología.
La conclusión práctica de AWS vale aunque algunas horas no coincidan: no suponga que la fecha de divulgación es la primera fecha de explotación, y no planifique una ventana de semanas para una vulnerabilidad crítica de este tipo expuesta públicamente. Si este software estuvo expuesto, investigue al menos desde el 17 de octubre.
Fuentes
Los enlaces externos salen de este sitio. No alojamos código de explotación.
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- Joint statement on critical PHP vulnerabilities — ENISA
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research