PHP2Shell: el 92,6% de los atacantes ya era conocido por OneFirewall.
El 21 de octubre de 2026, una oleada de tres horas de peticiones automatizadas golpeó endpoints .php de miembros de la Alliance. 25 de las 27 IP de origen ya estaban en la base de datos de OneFirewall y enviaron el 99,96% de los intentos.
Basta una petición a un archivo PHP vulnerable.
Los atacantes escanean internet en busca de archivos PHP que puedan aprovechar: un formulario de subida vulnerable, un endpoint eval o una web shell que dejó una intrusión anterior. Un solo acierto les da ejecución remota de código en el servidor web, y todo lo que viene después.
- 01EscaneoPeticiones automatizadas sondean rutas .php en todo internet.
OneFirewall bloquea aquí - 02ExplotaciónUn formulario de subida, un endpoint eval o una web shell antigua acepta el payload.
- 03EjecuciónEl atacante ejecuta código en el servidor web.
- 04ExpansiónSe roban datos y credenciales, y el atacante se mueve hacia la red interna.
- 05MonetizaciónSe despliega ransomware o el servidor pasa a formar parte de una botnet.
Una regla de bloqueo actúa en el paso 1: una IP conocida nunca llega al endpoint PHP, así que los pasos siguientes nunca empiezan.
De menos de 100 peticiones por hora a 15.562.
La tarde fue tranquila hasta las 20:00 UTC. Después llegaron 6.284 intentos en la primera hora, 15.562 en la segunda y 10.406 en la tercera, y la oleada se detuvo tan bruscamente como había empezado.
Intentos por hora, 21 de octubre de 2026, UTC. En naranja, la oleada.
Casi todos los atacantes ya tenían puntuación, y casi siempre alta.
OneFirewall asigna a cada IP un crime score de 0 a 1000, construido a partir de lo que reportan los miembros de la Alliance. En el momento de cada evento, 25 de las 27 IP tenían una puntuación de al menos 10 y 17 ya eran Critical (150 o más), con el 89,6% del tráfico.
| Umbral de bloqueo (puntuación mínima) | IP bloqueadas | Cuota de IP | Cuota de intentos | IP que pasan |
|---|---|---|---|---|
| 10 | 25 de 27 | 92,6% | 100,0% | 2 |
| 30 | 23 de 27 | 85,2% | 99,9% | 4 |
| 80 | 20 de 27 | 74,1% | 90,9% | 7 |
| 150 (Critical) | 17 de 27 | 63,0% | 89,6% | 10 |
Puntuación en el momento de cada evento. 100,0% está redondeado: el 99,96% de los intentos procedía de IP conocidas.
Algunos atacantes eran conocidos desde hacía más de un año; otros, desde hacía menos de un día.
De las 25 IP conocidas, 12 habían recibido puntuación más de un mes antes del ataque. 5 se detectaron solo en los 7 días previos y 2 en las últimas 24 horas: la inteligencia de un miembro llega a todos los demás lo bastante rápido como para marcar la diferencia.
Cuándo recibió cada una de las 25 IP conocidas su primera puntuación de OneFirewall. En naranja, los últimos 7 días.
Las IP Critical enviaron nueve de cada diez intentos.
17 de las 25 IP con puntuación eran Critical y enviaron 28.899 intentos. Las IP Medium enviaron 3.190, las High 145 y las Low 4.
| IP | País | Intentos | Score |
|---|---|---|---|
| 216.36.112.x | US | 5.330 | 436 |
| 171.34.139.x | CN | 4.940 | 677 |
| 80.94.95.x | RO | 4.685 | 444 |
| IP | País | Intentos | Score |
|---|---|---|---|
| 171.34.139.x | CN | 4.940 | 677 |
| 103.160.205.x | ID | 2.647 | 584 |
| 169.58.137.x | US | 4.390 | 558 |
Critical 150 o más, High de 90 a 150, Medium de 40 a 90, Low por debajo de 40. El último octeto de cada IP está enmascarado.
Los atacantes conocidos se detienen en la primera petición.
Así contiene OneFirewall los ataques de explotación como PHP2Shell: antes de que se aplique un parche y antes de que alguien en el SOC haya leído una alerta.
Conocidos antes de la primera petición
25 de las 27 IP estaban en la base de datos de OneFirewall antes de que empezara la oleada. Una regla de bloqueo en el firewall las habría detenido en la primera petición, antes de tocar ningún archivo PHP.
Compartidos rápidamente en la Alliance
Una IP reportada por un miembro recibe una puntuación y se envía a todos los miembros. 5 de estos atacantes recibieron puntuación solo en los 7 días previos al ataque, y 2 en las últimas 24 horas.
Seguros para bloquear automáticamente
Las IP con puntuación High o Critical enviaron el 90% de la oleada. Con esa confianza, la regla puede aplicarse sin que una persona apruebe cada bloqueo.
Aplicado en el firewall que ya utiliza
El WCF Agent envía la lista con puntuación a cualquiera de las más de 166 integraciones, entre ellas Check Point, Fortinet y Palo Alto, de modo que el bloqueo ocurre en el perímetro, no en la aplicación.
Ver las integraciones →Recomendación: sitúe su umbral de bloqueo por debajo de 150. Con 150, 10 de estas 27 IP habrían pasado. Con 80 se bloquean 20 de las 27 IP y el 91% del tráfico. Además, aplique parches o elimine cualquier endpoint PHP de subida o eval expuesto.
Cómo se obtuvieron estas cifras
- Fuente: eventos en tiempo real de los miembros de la Alliance que participan en la investigación y comparten su tráfico, 21 de octubre de 2026, de 20:00 a 23:00 UTC. Datos elaborados por el equipo SOC de OneFirewall.
- Las cifras cuentan intentos, no compromisos confirmados.
- Las puntuaciones son el crime score que tenía cada IP en el momento de cada evento.
- Solo se incluyen los miembros participantes, por lo que las cifras subestiman el tamaño real de la oleada en internet.
- El último octeto de cada dirección IPv4 está enmascarado.