Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking

1 minute de lecture

Mis à jour :

Menace PHP2Shell : Campagnes ciblées et usage d’IA générative

Les vulnérabilités critiques connues sous le nom de PHP2Shell font l’objet d’une exploitation active à l’échelle mondiale, ciblant des millions d’infrastructures PHP. Des acteurs malveillants, potentiellement liés au groupe Lazarus (Corée du Nord), utilisent ces failles pour infiltrer des entités gouvernementales et financières, avec des preuves d’utilisation d’IA agentique pour automatiser les phases de post-exploitation.

Points clés

  • Mode opératoire : Les attaquants effectuent des balayages “low-and-slow” (lents et discrets) pour éviter les détections basées sur des seuils, en utilisant des infrastructures I2P et des nœuds rotatifs.
  • Infiltration assistée par IA : Une fois le système compromis, les attaquants utilisent des agents autonomes pour l’énumération réseau, l’extraction de secrets (mots de passe, 2FA) et l’escalade de privilèges vers Active Directory, avec des commandes optimisées pour une lecture par IA.
  • Portée : Plus de 37 millions de systèmes exposés sont potentiellement vulnérables à travers le monde.

Vulnérabilités concernées

  • CVE-2026-109618 et CVE-2026-109619 : Failles critiques permettant l’exécution de code à distance (RCE) via une mauvaise gestion de la mémoire lors de l’analyse des formulaires PHP.
  • CVE-2026-115560 : Une vulnérabilité RCE supplémentaire signalée par la PHP Foundation, liée à une configuration spécifique des gestionnaires de sérialisation de session.

Recommandations

  • Mise à jour impérative : La mise à jour de l’interpréteur PHP sur le serveur est la seule protection efficace, les correctifs au niveau des applications ou des WAF étant insuffisants.
  • Surveillance des logs : Rechercher une séquence spécifique : requêtes POST suivies d’une erreur 500, rapports d’épuisement mémoire, corruption du tas (heap) et plantage du processus Apache/PHP.
  • Audit de configuration : Désactiver les fonctionnalités inutilisées, notamment session.upload_progress, et vérifier les paramètres de session.serialize_handler pour limiter l’exposition à la nouvelle faille (CVE-2026-115560).
  • Utilisation d’outils de détection : Employer des scanners spécialisés (comme celui proposé par Xint) pour identifier si les systèmes exposés sont vulnérables à PHP2Shell.

Source

Vous pourriez aimer