Lo que muestra PHP2Shell
- Los intentos son sobre todo exploración, identificación de servidores y entrega de botnets. Sophos vinculó intentos con Potassium, una variante de la botnet Mirai, que en ese caso fue bloqueada.
- Cloudflare vio a los atacantes cambiar sus cargas útiles para esquivar cada regla nueva de su cortafuegos, y calificó esas reglas como una medida provisional.
- Las pruebas de concepto en circulación no lograron ejecutar código y hasta el 23 de octubre no se había confirmado una intrusión exitosa. Eso puede cambiar: los exploits se mejoran.
Qué tan rápido pasa de la falla al ataque
| Dato | Cifra | Fuente |
|---|---|---|
| Tiempo medio hasta la explotación, según Mandiant | De 63 días (2018-2019) a unos 5 días (2023); M-Trends 2026 estima -7 días, es decir, explotación antes del parche | SecurityHQ |
| Exploit funcional generado por IA para un CVE publicado | 10 a 15 minutos y cerca de 1 dólar por intento | Cloud Security Alliance |
| Vulnerabilidades explotadas activamente, primer semestre de 2026 | 215, un 34% más que en el mismo periodo de 2025; mediana de 31 días desde su publicación | Recorded Future |
La IA no es la única causa de esa caída de plazos, y los bancos de pruebas de agentes de IA muestran que ya logran explotar una parte relevante de fallas reales, aunque todavía no de forma confiable en todos los objetivos.
Bots y agentes de IA: qué está documentado
- Barrido masivo asistido por IA: Google describió a un atacante que, con un chatbot de programación y un conjunto de instrucciones, montó en menos de seis horas una campaña que comprometió miles de credenciales.
- Agente que secuestra modelos de IA expuestos: Symantec documentó una herramienta con 74 funciones ofensivas para escanear internet, explotar frameworks web, robar bases de datos y minar criptomonedas.
- Botnet con agente de IA incorporado: CARBONATO convierte servidores Docker expuestos en puntos de apoyo y despliega un agente controlado por Telegram; el escaneo y la propagación los hacen scripts comunes.
- Escaneo en busca de PHP: CISA advirtió el 8 de octubre sobre grupos que combinan escaneo automatizado, botnets a gran escala y explotación manual, y que enumeran páginas PHP y ASP.
No hay evidencia pública de ejércitos de bots totalmente autónomos explotando PHP2Shell; lo documentado es automatización más barata y más rápida. Para un servidor sin parchar, la diferencia práctica es pequeña.
Del servidor sin parchar al ransomware
Un servidor web comprometido suele ser solo el primer paso. Según el informe de Unit 42, el 22% de los accesos iniciales vino de vulnerabilidades, igual que el phishing; el Verizon DBIR 2026 lo sitúa en el 31% de las brechas, frente al 20% del año anterior. Dos casos de este año:
- Arctic Wolf investigó intrusiones de junio en que una falla de perímetro llevó a cifrado de todo el dominio con el ransomware Qilin.
- El FBI y CISA documentaron que el grupo Gunra entró explotando fallas conocidas en cortafuegos y VPN, y piden priorizar el parcheo de fallas ya explotadas en sistemas expuestos.
Según Black Kite, el 43,5% de las víctimas de ransomware seguía con una falla crítica al revisarlas de nuevo: cerrar el incidente no cierra la puerta.
Qué hacer
- Parchar en horas o pocos días lo expuesto a internet y crítico; el resto, en ciclos regulares. Este plazo es recomendación de EXIS, no una norma.
- Actualizaciones automáticas donde sea seguro hacerlo, y alertas de avisos de seguridad de tus proveedores.
- Un WAF como parche virtual temporal, nunca como reemplazo.
- Respaldos fuera de línea y restauración probada: es lo que decide si un ransomware es un mal día o el cierre del negocio.
- Segmentar la red y activar doble factor en paneles de administración, VPN y correo.
- Reemplazar lo que ya no recibe parches (PHP 8.1 o anterior, Node.js 20, Java sin soporte).
- Vigilar y responder: registros centralizados y un plan escrito para el primer día de un incidente.