El aprovechamiento de la vulnerabilidad PHP2Shell comenzó días antes de que se publicaran los parches

Cier­tas en­ti­da­des de ci­ber­se­gu­ri­dad de­tec­ta­ron que di­ver­sos ac­to­res ma­li­cio­sos co­men­za­ron a bus­car ser­vi­do­res afec­ta­dos por dos fa­llas crí­ti­cas de eje­cu­ción re­mo­ta de có­di­go en PHP, co­no­ci­das en con­jun­to como PHP2Shell, va­rios días antes de que se pu­bli­ca­ran los par­ches ofi­cia­les. Las vul­ne­ra­bi­li­da­des su­frie­ron una fil­tra­ción en línea pre­via al lan­za­mien­to de las co­rrec­cio­nes, lo que ace­le­ró la cir­cu­la­ción de ma­te­rial de ex­plo­ta­ción y mues­tras ini­cia­les desde redes de ano­ni­mi­za­ción. Aun­que di­ver­sos in­ten­tos de ata­que ini­cia­les no lo­gra­ron su ob­je­ti­vo, la ac­ti­vi­dad ma­li­cio­sa se in­ten­si­fi­có rá­pi­da­men­te tras la di­vul­ga­ción pú­bli­ca y la pos­te­rior dis­po­ni­bi­li­dad de los arre­glos.

Di­ver­sas fir­mas es­pe­cia­li­za­das y pla­ta­for­mas de ras­treo in­for­ma­ron sobre un in­cre­men­to ma­si­vo en las ten­ta­ti­vas de ata­que con­tra los sis­te­mas ex­pues­tos a in­ter­net, al­can­zan­do ci­fras de mi­llo­nes de so­li­ci­tu­des en cues­tión de horas. Los aná­li­sis re­ve­la­ron que una gran can­ti­dad de ser­vi­do­res co­nec­ta­dos a la red ope­ra­ban con ver­sio­nes de soft­wa­re no ac­tua­li­za­das o que ya ha­bían al­can­za­do el fin de su ciclo de vida, acu­mu­lán­do­se la ma­yo­ría de estos equi­pos vul­ne­ra­bles en te­rri­to­rio es­ta­dou­ni­den­se a tra­vés de un grupo re­du­ci­do de pro­vee­do­res. En pa­ra­le­lo, se de­tec­tó la pu­bli­ca­ción de có­di­gos de prue­ba fal­sos y pro­gra­mas ma­li­cio­sos de tipo broma en pla­ta­for­mas de de­sa­rro­llo.

Ante este es­ce­na­rio, las agen­cias gu­ber­na­men­ta­les y los ex­per­tos en se­gu­ri­dad ins­ta­ron a las or­ga­ni­za­cio­nes a apli­car de forma in­me­dia­ta las ac­tua­li­za­cio­nes de emer­gen­cia co­rres­pon­dien­tes para mi­ti­gar el ries­go. Los es­pe­cia­lis­tas ad­vir­tie­ron que la di­fi­cul­tad prin­ci­pal ra­di­ca en la lo­ca­li­za­ción de apli­ca­cio­nes ol­vi­da­das o sis­te­mas ocul­tos que uti­li­zan las ver­sio­nes afec­ta­das de la tec­no­lo­gía, y com­pa­ra­ron la mag­ni­tud e im­pli­ca­cio­nes de este in­ci­den­te con el im­pac­to ge­ne­ra­do en su mo­men­to por fa­llas si­mi­la­res a gran es­ca­la como Log4Shell.