Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed

Alerte de sécurité : Exploitation critique des failles PHP2Shell

Deux vulnérabilités critiques dans le cœur de PHP, collectivement appelées PHP2Shell, font l’objet d’une exploitation active. Des tentatives d’attaque ont été détectées par Amazon via son service MadPot dès le 17 octobre 2026, soit quatre jours avant la divulgation publique officielle, suite à une fuite d’informations et une divulgation prématurée par un tiers.

Points clés

• Nature des failles : Vulnérabilités de gestion de mémoire et de traitement des erreurs affectant les versions PHP 7.x et 8.x.
• Impact : Exécution de code à distance (RCE) sans authentification. La faille est indépendante du CMS ou du framework utilisé.
• Discrétion : Les attaques ne laissent quasiment aucune trace dans les logs applicatifs, rendant la détection extrêmement difficile.
• Rapidité d’exploitation : L’analyse assistée par l’IA permet désormais aux attaquants de transformer un correctif en exploit fonctionnel en quelques heures, voire minutes.

Vulnérabilités (CVE)

• CVE-2026-109618 (Score CVSS : 9.2)
• CVE-2026-109619 (Score CVSS : 9.2)

Recommandations

• Mise à jour immédiate : Appliquer sans délai les correctifs fournis par la PHP Foundation ou les distributeurs de paquets PHP.
• Surveillance active : Surveiller les serveurs web pour détecter des activités suspectes, notamment le lancement inattendu de shells de commande ou le téléchargement de fichiers par les processus PHP.
• Analyse de l’exposition : Identifier tous les serveurs utilisant PHP (y compris les versions obsolètes) au sein de l’infrastructure.
• Outillage : Utiliser des outils de détection comme le Codex skill fourni par OpenAI pour vérifier si un environnement est vulnérable.
• Mesures de défense : En cas d’impossibilité de mise à jour immédiate, envisager de déconnecter les services exposés ou de renforcer les règles de filtrage au niveau du pare-feu applicatif (WAF).

Source