Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware

1 minute de lecture

Mis à jour :

Menace PHP2Shell : Campagne massive d’exploitation et déploiement de botnets

Les vulnérabilités critiques baptisées PHP2Shell font l’objet d’une vague massive de tentatives d’exploitation mondiale. Bien que des millions de requêtes malveillantes aient été détectées, les attaquants peinent encore à développer un exploit fiable pour compromettre les systèmes. L’objectif principal observé est le déploiement de Potassium, une variante du botnet Mirai, capable de mener des attaques DDoS et d’établir des accès distants.

Points clés

  • Nature des attaques : Scanning massif et tentatives de déploiement de charges utiles (malware Linux ELF). Les attaquants utilisent des scripts d’énumération pour cibler des serveurs vulnérables.
  • Impact : De nombreux services gouvernementaux et institutionnels ont été mis hors ligne préventivement.
  • Complexité : L’existence de protections comme l’ASLR (Address Space Layout Randomization) rend l’exécution de code à distance (RCE) difficile, bien que des techniques de contournement commencent à émerger au sein de la communauté des chercheurs.
  • Obsolescence : Des millions d’hôtes exécutant des versions de PHP non supportées (inférieures à 8.2) restent durablement exposés.

Vulnérabilités ciblées

  • CVE-2026-109618 et CVE-2026-109619 : Scores CVSS de 9.2.
  • Elles permettent une exécution de code à distance (RCE) non authentifiée via des requêtes HTTP spécifiquement forgées.

Recommandations

  • Mise à jour immédiate : Appliquer les correctifs en migrant vers les versions de PHP corrigées : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
  • Migration des versions obsolètes : Les versions antérieures à la 8.2 (notamment 7.4, 8.0, 8.1) ne recevant pas de correctifs officiels, il est impératif de migrer vers une branche supportée ou d’utiliser les rétroportages (backports) fournis par les distributions Linux.
  • Surveillance : Surveiller les logs serveurs pour détecter des tentatives d’accès aux fichiers de session ou des requêtes suspectes cherchant à identifier la version de PHP ou à tester l’injection de code.
  • Isolation : En cas d’impossibilité de mise à jour immédiate, limiter l’exposition du service via des WAF (Web Application Firewalls) configurés pour bloquer les requêtes malveillantes exploitant ces vecteurs.

Source

Vous pourriez aimer