Amazon says PHP2Shell exploitation began 4 days before patches

Exploitation active avant le correctif des failles PHP2Shell

Des attaquants ont commencé à cibler les vulnérabilités critiques « PHP2Shell » quatre jours avant la publication officielle des correctifs par l’équipe de développement de PHP. Des tentatives d’exploitation ont été détectées dès le 17 octobre 2026, profitant d’une fuite d’informations survenue durant la période d’embargo. Actuellement, ces failles font l’objet d’une exploitation généralisée sur les serveurs exposés.

Points clés :

• Détection précoce : Amazon Threat Intelligence a identifié des tentatives d’exploitation via des réseaux anonymisés (VPN) bien avant la divulgation publique.
• Fuite d’informations : La divulgation a dû être accélérée suite à la fuite en ligne de détails techniques et de conseils d’atténuation destinés à des infrastructures critiques.
• Surface d’attaque massive : PHP alimente environ 80 % des sites web, avec plus de 5 millions d’hôtes identifiés par VirusTotal, dont près de 3,8 millions présentent des ports exposés.

Vulnérabilités :

• CVE-2026-109618 et CVE-2026-109619 : Ces deux failles critiques permettent l’exécution de code à distance (RCE) sur les systèmes vulnérables.

Recommandations :

• Mise à jour immédiate : L’installation des correctifs officiels fournis par l’équipe PHP est la seule solution permanente et indispensable pour sécuriser les serveurs.
• Déconnexion préventive : Le NCSC (Royaume-Uni) conseille de mettre les serveurs PHP hors ligne si la mise à jour immédiate n’est pas possible.
• Vigilance accrue : Ne pas se baser uniquement sur la date de divulgation publique pour évaluer l’exposition, car des acteurs malveillants peuvent exploiter des vulnérabilités sous embargo.

Source