Los atacantes intentan reclutar servidores PHP vulnerables en "Potassium", una botnet derivada de Mirai diseñada para ataques de denegación de servicio distribuida (DDoS), pero hasta ahora la campaña ha tenido dificultades para concretarse. El código fuente de Mirai se hizo público en 2016, y botnets descendientes de esa cepa han impulsado algunas de las campañas de DDoS más grandes registradas. The Hacker News informó el 23 de octubre que no se había confirmado ningún compromiso de servidores, incluso cuando los intentos de explotación alcanzaron cientos de miles.

Las fallas atacadas

La campaña se centra en dos vulnerabilidades de PHP, CVE-2026-109618 y CVE-2026-109619, ambas con puntuaciones de severidad de 9.2 sobre 10, un nivel que se sitúa claramente en el rango crítico de la escala CVSS, y ambas permiten la ejecución remota de código sin autenticación, lo que significa que un atacante no necesita credenciales para ejecutar comandos en un servidor vulnerable. PHP publicó los parches el 21 de octubre, pero para entonces los hackers ya habían comenzado a lanzar ataques contra estas fallas.

Millones de sondeos, cero intrusiones confirmadas

Las cifras indican qué tan extensamente están sondeando los atacantes. Imperva registró 482,342 intentos de solicitud en 122,311 sesiones dirigidas a 21,998 sitios en 103 países dentro de un período de 24 horas. Mientras tanto, Censys informó haber detectado más de 41 millones de servicios PHP expuestos a internet ejecutando versiones afectadas, con solo alrededor de 1 millón de instancias ejecutando versiones parchadas del software al 22 de octubre, dejando a la gran mayoría de los servidores expuestos sin una corrección un día completo después de que se publicaron los parches. Los recuentos de actividad de escaneo o de exposición no son suficientes para demostrar que ocurrió un compromiso real.

Lo que vio Sophos y luego retiró

Arctic Wolf informa que se han atribuido a Potassium intentos de ejecución de comandos y descargas de malware. Una evaluación independiente en un entorno sandbox reveló una muestra diferente que se comunicó con thunder.godofthunder[.]st a través de la IP 134.199.154[.]64 en el puerto TCP 50792 y atacó dos hosts ucranianos. Eso demostró el potencial del malware, pero no que los atacantes hayan violado servidores de producción. El 22 de octubre, Sophos retiró un anuncio previo de éxito, diciendo a The Record que solo había observado intentos de ataque fallidos.

24 comandos de flood y un interruptor ENS inactivo

Arctic Wolf reveló que Potassium incluye 24 comandos de flood que cubren todos los tipos de ICMP, TCP, UDP y OpenVPN. Tanto la versión ARM como la x86-64 del malware también contienen funcionalidad de búsqueda de Ethereum Name Service (ENS), un sistema de nombres descentralizado que funciona en la blockchain de Ethereum en lugar de la jerarquía DNS tradicional, pero la función está desactivada en ambas instancias. Ethereum y ENS no han sido comprometidos. Sin embargo, se activara, la búsqueda ENS podría dificultar el bloqueo de los servidores de comando de la botnet mediante controles DNS e IP convencionales.

PoC basura frente a un exploit privado funcional

Muchos exploits de prueba de concepto (PoC) públicos fallan contra las defensas de producción, en particular la aleatorización del espacio de direcciones (ASLR), una técnica de endurecimiento que aleatoriza la ubicación del código y los datos de un programa en la memoria para que los exploits no puedan apuntar de manera confiable a direcciones fijas. Spencer McIntyre, de VulnCheck, describió muchas de las muestras en circulación como "basura y no funcionales", según lo citado por The Record.

Sin embargo, esa protección no es infalible. VulnCheck desarrolló un exploit privado que elude ASLR en PHP 8.4.26 con configuración de producción, y luego amplió el soporte a versiones seleccionadas de 8.4 y 8.5. John Hultquist, de Google, calificó la amenaza de "viable y muy grave", según The Record.

Por qué una botnet DDoS preocupa a los operadores de hosting y cripto

La amenaza más amplia ya es considerable. Cloudflare registró 935 ataques DDoS que superaron 1 terabit por segundo durante el primer semestre de 2026, según su informe de amenazas. Esos ataques no se atribuyeron a Potassium, pero ilustran la disrupción que enfrentan los proveedores de hosting, los procesadores de pagos y las plataformas de criptomonedas. No se han vinculado pérdidas financieras a PHP2Shell.

Nuevo aviso de PHP y qué vigilar

El 23 de octubre, PHP reveló otro problema, CVE-2026-115560, que involucra una configuración de aplicación inusual. Mientras se espera una corrección regular, recomienda establecer session.upload_progress.enabled=0, una directiva de configuración que desactiva la función de progreso de subida de PHP, que también sirve como mitigación para CVE-2026-109619.

Los administradores deben instalar PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, reiniciar los workers para que los procesos en ejecución realmente adopten el código parchado, y monitorear descargas sospechosas. El CISO de Cobalt, Andrew Obadiaru, advirtió que el actual período de calma equivale a "tiempo prestado", según lo citado por The Record.