Críticas vulnerabilidades en PHP: Amazon detecta una prueba de explotación cuatro días antes de su divulgación

Amazon Threat Intelligence detectó una prueba de ataque de un exploit coordinado en dos vulnerabilidades críticas en el entorno de ejecución de PHP (CVE-2026-109618 y CVE-2026-109619) cuatro días antes de que fueran anunciadas, el 17 de octubre mediante su red de trampas MadPot.

Ambas vulnerabilidades obtienen una puntuación CVSS de 9,2 sobre 10, lo que indica un problema grave en la gestión de memoria y en el manejo de errores, lo que permite el riesgo de ejecución remota de código sin autenticación.

Amazon destaca que el atacante utilizó una dirección IP anónima y que MadPot no es un servidor en producción, lo cual no constituye evidencia directa de una violación, pero sí refuerza la posibilidad de una filtración temprana de información.