Qué significa que Amazon detectara ataques al fallo de PHP hallado con IA de OpenAI antes del parche — 23 de octubre de 2026
· CompaniesAutomation
Edición flash del Radar: Amazon vio ataques al fallo de PHP hallado con IA de OpenAI cuatro días antes del parche. Desde qué fecha revisar tu web.
Edición flash. Complementa el Radar de esta mañana. Los dos fallos críticos de PHP que contamos ayer, hallados con IA de OpenAI, ya se estaban atacando antes de que existiera el parche.
Qué ha pasado
Amazon ha detectado un intento de ataque contra PHP2Shell el 17 de octubre en su red de señuelos, cuatro días antes de que se publicara el arreglo, desde una red de anonimización y sin saber cómo consiguió el atacante la información. Pide investigar desde el 17 como mínimo y medir el parcheo en horas: los plazos de 7 o 30 días «asumen un margen que ya no existe». Añade que ningún ajuste de configuración lo arregla del todo; solo actualizar (Amazon Threat Intelligence).
Cloudflare contó decenas de miles de intentos en los primeros 45 minutos y millones el jueves por la mañana. Todavía no hay ninguna intrusión confirmada: Wordfence ha bloqueado más de 74.000 intentos sin ver ni un caso entre los más de 5 millones de webs WordPress que protege, y Dataminr avisa de que es «cuestión de tiempo». En Japón, Nomura, MUFG y JR East suspendieron algunos servicios en línea, y VulnCheck cuenta al menos un millón de servidores expuestos con versiones de PHP que ya no reciben arreglos (SiliconANGLE). La propia VulnCheck ya ha logrado un ataque que funciona con la configuración de producción recomendada (The Hacker News).
Por qué importa
Hasta ahora, revisar una web empezaba el día del parche. Con fallos que la IA encuentra y convierte en ataques en horas, la fecha que cuenta es la del primer intento, y nadie te avisa de ella. Jason Clinton, adjunto al jefe de seguridad de Anthropic, pide a los responsables que vayan a sus consejos a pedir ayuda «no para IA, para lo básico» (Business Insider).
Para tu empresa
- La revisión empieza el 17 de octubre. Si actualizaste tras leer el radar de ayer, pide a tu hosting o a tu agencia que miren los registros desde esa fecha: ficheros nuevos, procesos raros y envíos de formulario sospechosos.
- Cambia las claves que viven en la web. El ataque más repetido que ve Wordfence intenta leer los ficheros con las contraseñas de la base de datos y las claves de API (Wordfence). Si tu web estuvo expuesta, cámbialas.
- Actualizar WordPress no actualiza PHP. Pide por escrito la versión (8.5.12, 8.4.27, 8.3.36 u 8.2.35) y que reinicien PHP.
En la escalera AI First, un contrato de mantenimiento que parchea «en 30 días» es MANUAL frente a atacantes que escriben sus ataques con IA en horas: el plazo se mide en horas y queda por escrito.
Preguntas frecuentes
¿Ya han entrado en webs por PHP2Shell?
No hay ninguna intrusión confirmada a 22 de octubre, pero hay millones de intentos y ya existe un ataque que funciona con la configuración recomendada.
¿Desde qué fecha tengo que revisar mi web?
Desde el 17 de octubre como mínimo, según Amazon, aunque actualizaras el mismo día 21.
¿Basta con un cortafuegos web?
Ayuda mientras actualizas, pero Amazon recuerda que solo la nueva versión de PHP corrige los dos fallos.