Atacantes de PHP2Shell intentan crear un botnet DDoS Potassium, pero hasta ahora fracasan
- Los atacantes están intentando utilizar PHP2Shell para instalar el botnet DDoS Potassium, derivado de Mirai.
- Los investigadores han observado intentos generalizados de explotación, pero no hay compromisos masivos confirmados públicamente a fecha del 23 de octubre.
- Ya existen exploits funcionales en entornos de producción, lo que aumenta la presión sobre los administradores para parchear las instalaciones vulnerables de PHP.
“viable y muy grave.”
— John Hultquist, Google, citado por The Record.
Por qué una botnet DDoS preocupa a proveedores de alojamiento y operadores de criptomonedas
La amenaza más amplia ya es considerable. Cloudflare registró 935 ataques DDoS superiores a 1 terabit por segundo durante el primer semestre de 2026.
Esos ataques no fueron atribuidos a Potassium. Sin embargo, ilustran la disrupción a la que se enfrentan los proveedores de alojamiento, procesadores de pagos y plataformas de criptomonedas. No se han vinculado pérdidas financieras con PHP2Shell.
El nuevo aviso de PHP y qué vigilar
El 23 de octubre, PHP reveló otro problema, CVE-2026-115560, relacionado con una configuración inusual de la aplicación. Hasta que se publique una solución definitiva, recomienda session.upload_progress.enabled=0, que también actúa como mitigación para CVE-2026-109619.
Los administradores deben instalar PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, reiniciar los procesos workers y monitorizar descargas sospechosas.
Andrew Obadiaru, CISO de Cobalt, advirtió que este periodo de calma es:
“tiempo prestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
“basura y no funcional.”
— Spencer McIntyre, VulnCheck, citado por The Record.
Esa protección no es infalible. VulnCheck desarrolló un exploit privado que eludió ASLR en PHP 8.4.26 configurado para producción, ampliando posteriormente el soporte a determinadas versiones de las series 8.4 y 8.5.
John Hultquist, de Google, calificó la amenaza como:
“viable y muy grave.”
— John Hultquist, Google, citado por The Record.
Por qué una botnet DDoS preocupa a proveedores de alojamiento y operadores de criptomonedas
La amenaza más amplia ya es considerable. Cloudflare registró 935 ataques DDoS superiores a 1 terabit por segundo durante el primer semestre de 2026.
Esos ataques no fueron atribuidos a Potassium. Sin embargo, ilustran la disrupción a la que se enfrentan los proveedores de alojamiento, procesadores de pagos y plataformas de criptomonedas. No se han vinculado pérdidas financieras con PHP2Shell.
El nuevo aviso de PHP y qué vigilar
El 23 de octubre, PHP reveló otro problema, CVE-2026-115560, relacionado con una configuración inusual de la aplicación. Hasta que se publique una solución definitiva, recomienda session.upload_progress.enabled=0, que también actúa como mitigación para CVE-2026-109619.
Los administradores deben instalar PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, reiniciar los procesos workers y monitorizar descargas sospechosas.
Andrew Obadiaru, CISO de Cobalt, advirtió que este periodo de calma es:
“tiempo prestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
Los atacantes están intentando convertir servidores PHP vulnerables en bots Potassium, parte de una red derivada de Mirai diseñada para ataques de denegación de servicio distribuida (DDoS). Pero hasta ahora, han tenido dificultades. The Hacker News informó el 23 de octubre que no se habían confirmado compromisos de servidores.
Hubo dos vulnerabilidades principales de PHP que fueron los objetivos principales de los ciberataques: CVE-2026-109618 y CVE-2026-109619, ambas con una puntuación de severidad de 9,2 sobre 10. PHP puso los parches a disposición el 21 de octubre, pero para entonces los hackers ya habían comenzado a lanzar ataques contra estas vulnerabilidades.
Lo que vio Sophos y luego retractó
Arctic Wolf informa que los intentos de ejecución de comandos y las descargas de malware han sido atribuidos a Potassium. Otro análisis realizado en un entorno sandbox reveló una muestra diferente que se comunicó con thunder.godofthunder[.]st a través de la IP 134.199.154[.]64 en el puerto TCP 50792 y atacó dos hosts ucranianos.
Demostró el potencial del malware, pero no que los atacantes hubieran vulnerado los servidores de producción. El 22 de octubre, Sophos retractó su anuncio previo de éxito, indicando a The Record que solo había observado intentos de ataque fallidos.
Millones de sondeos, cero intrusiones confirmadas
Sin embargo, las cifras sí indican la magnitud con la que los atacantes están realizando sondeos. Imperva registró 482.342 intentos de solicitud en 122.311 sesiones dirigidas a 21.998 sitios en 103 países dentro de un período de 24 horas.
Al mismo tiempo, Censys informó haber detectado más de 41 millones de servicios PHP expuestos a Internet que ejecutaban versiones afectadas, y solo alrededor de 1 millón de instancias con la implementación de versiones parcheadas del software para el 22 de octubre. Las cifras que reflejan incidentes de escaneo o el número de personas expuestas son insuficientes para demostrar que ocurrió una vulneración real.
comandos de inundación 24 y un interruptor ENS inactivo
Arctic Wolf ha revelado que 24 comandos de inundación incluyen todos los tipos de ICMP, TCP, UDP y Open VPN. También se han detectado funciones de búsqueda del Servicio de Nombres de Ethereum (ENS) en las versiones Potassium para ARM y x86-64, aunque esta característica está desactivada en ambos casos.
Ethereum y ENS no han sido comprometidos. Sin embargo, activar las funciones de búsqueda de ENS puede llevar a una forma más difícil de bloquear los servidores de comandos con cualquier uso de controles DNS e IP convencionales.
Pruebas de concepto basura frente a una explotación privada funcional
Muchas pruebas de concepto (PoC) públicas fallan contra las defensas de producción, particularmente la aleatorización del diseño del espacio de direcciones (ASLR). Spencer McIntyre de VulnCheck describió muchas muestras circulantes como:
“basura y no funcional.”
— Spencer McIntyre, VulnCheck, citado por The Record.
Esa protección no es infalible. VulnCheck desarrolló un exploit privado que eludió ASLR en PHP 8.4.26 configurado para producción, ampliando posteriormente el soporte a determinadas versiones de las series 8.4 y 8.5.
John Hultquist, de Google, calificó la amenaza como:
“viable y muy grave.”
— John Hultquist, Google, citado por The Record.
Por qué una botnet DDoS preocupa a proveedores de alojamiento y operadores de criptomonedas
La amenaza más amplia ya es considerable. Cloudflare registró 935 ataques DDoS superiores a 1 terabit por segundo durante el primer semestre de 2026.
Esos ataques no fueron atribuidos a Potassium. Sin embargo, ilustran la disrupción a la que se enfrentan los proveedores de alojamiento, procesadores de pagos y plataformas de criptomonedas. No se han vinculado pérdidas financieras con PHP2Shell.
El nuevo aviso de PHP y qué vigilar
El 23 de octubre, PHP reveló otro problema, CVE-2026-115560, relacionado con una configuración inusual de la aplicación. Hasta que se publique una solución definitiva, recomienda session.upload_progress.enabled=0, que también actúa como mitigación para CVE-2026-109619.
Los administradores deben instalar PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, reiniciar los procesos workers y monitorizar descargas sospechosas.
Andrew Obadiaru, CISO de Cobalt, advirtió que este periodo de calma es:
“tiempo prestado.”
— Andrew Obadiaru, Cobalt, citado por The Record.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Qué es Potassium?
Potassium es una variante de botnet derivada de Mirai señalada por primera vez por Synthient en marzo de 2026, que según Sophos ahora lleva código de descargador y de interrupción de red y puede ejecutar ataques DDoS sobre protocolos que incluyen ICMP, TCP, UDP y OpenVPN.
¿Algun servidor ha sido realmente comprometido a través de PHP2Shell?
No. Sophos retractó una afirmación anterior sobre una explotación exitosa el 22 de octubre, y Google, VulnCheck y otros investigadores indican que han visto intentos, pero no hay confirmación de ejecución remota de código.
¿Qué versiones de PHP corrigen las vulnerabilidades?
PHP lanzó correcciones el 21 de octubre en las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y se insta a los administradores a parchear primero los sistemas expuestos a Internet y verificar que sus procesos de servidor web ejecuten la versión corregida del tiempo de ejecución.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Micah Abiodun
Micah Abiodun aprovecha su Maestría en Ingeniería y Gestión Ambiental (MSc) de la Universidad Tecnológica de Tallinn (TalTech) para perfeccionar noticias sobre contenido y predicciones de precios en Cryptopolitan. Ahora en su séptimo año en el espacio de medios cripto, cubre las principales criptomonedas, altcoins, DeFi, stablecoins, tendencias macroeconómicas y tecnologías emergentes.
