L'IA agentique accélère l'exploitation de PHP2Shell lors d'attaques mondiales

Des acteurs de la menace exploitent des plateformes d'intelligence artificielle agentique pour accélérer les activités post-exploitation suite à l'abus de vulnérabilités critiques de PHP connues sous le nom de PHP2Shell. Fin octobre 2026, des chercheurs en sécurité ont observé ces attaques assistées par IA ciblant une entité gouvernementale européenne, marquant un changement significatif dans la rapidité avec laquelle les adversaires peuvent passer de l'accès initial à l'élévation de privilèges.

Ce qui s'est passé

Palo Alto Networks Unit 42 a signalé que les attaquants ont exploité CVE-2026-109618 et CVE-2026-109619 pour obtenir un accès initial à un système gouvernemental en Europe. En seulement deux heures après la violation initiale, les attaquants avaient accédé aux hachages de mots de passe et aux secrets d'authentification multifacteur. Ils ont ensuite établi un tunnel de relais NT LAN Manager vers Active Directory et tenté d'élever leurs privilèges au niveau Domain Admin. La vitesse et la précision de ces actions suggéraient l'implication d'outils d'IA agentique automatisés plutôt qu'une opération humaine manuelle seule.

Simultanément, CYFIRMA a identifié une campagne distincte liée à l'écosystème du Lazarus Group, probablement originaire de Corée du Nord. Ce groupe a utilisé les mêmes vulnérabilités PHP2Shell pour sonder l'infrastructure PHP mondiale à partir de 21 nœuds compromis. Le scan était délibérément à faible volume et cadencé pour contourner les systèmes d'alerte basés sur des seuils. Les cibles comprenaient 216 hôtes non corrigés dans plusieurs pays, couvrant les secteurs gouvernemental, financier et logistique. Les opérateurs coordonnaient via un canal I2P fermé, utilisant des pseudonymes associés à des opérations clandestines précédentes.

Comment cela fonctionne

Les vulnérabilités PHP2Shell permettent l'exécution de code à distance dans les configurations PHP par défaut en exploitant des échecs d'allocation mémoire. Lorsque PHP analyse le nom d'un champ de formulaire, il crée plusieurs copies en mémoire. Un attaquant fabrique une requête avec un nom de champ dimensionné pour tenir dans le corps accepté mais suffisamment grand pour dépasser la limite de mémoire lors de la copie. Cela force un échec d'allocation lorsque PHP tente de copier le nom dans une table de hachage, pouvant entraîner une corruption du tas et l'exécution de code. Contourner l'Address Space Layout Randomization est également nécessaire pour trouver des adresses mémoire valides afin que l'exploit réussisse.

Dans les attaques assistées par IA, la phase post-exploitation était caractérisée par des indicateurs comportementaux spécifiques. Les attaquants émettaient des commandes enveloppées dans des délimiteurs d'en-tête de section comme ==SHELLUSER== et ==PASSWD==. Ces délimiteurs créent une sortie analysable par machine, permettant à un modèle d'IA de lire les résultats et de décider des étapes suivantes. L'agent IA effectuait la reconnaissance des bases de données d'authentification, interrogeait Active Directory via LDAP et chassait les hôtes internes et les groupes privilégiés, automatisant les étapes manuelles traditionnelles d'une intrusion.

Détails clés

• CVE-2026-109618 et CVE-2026-109619 sont des failles critiques d'exécution de code à distance dans les configurations PHP par défaut.
• Des outils d'IA agentique ont été utilisés pour analyser la sortie des commandes et automatiser la reconnaissance post-exploitation en moins de deux heures.
• Une campagne présumée nord-coréenne a utilisé des scans à faible volume depuis 21 nœuds pour cibler 216 hôtes non corrigés dans le monde entier.
• Les opérateurs liés à Lazarus coordonnaient via I2P et utilisaient un vocabulaire spécifique au Munhwaŏ nord-coréen.
• Bitsight estime que près de 37 millions de systèmes exposés à Internet exécutent PHP, avec une exposition majeure aux États-Unis et en Europe.
• Une troisième vulnérabilité, CVE-2026-115560, affecte les applications qui modifient les gestionnaires de sérialisation de session à l'exécution.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables IT, cet incident met en évidence la double menace des vulnérabilités critiques d'exécution et des chaînes d'attaque accélérées par l'IA. Les failles PHP2Shell ne peuvent pas être corrigées par des modifications de code applicatif ou des règles de pare-feu d'applications web ; elles nécessitent la mise à jour du runtime PHP sur l'hôte lui-même. Avec des millions de systèmes exposés, la fenêtre pour appliquer les correctifs est étroite, et les conséquences du retard sont graves, comme démontré par la compromission rapide de l'entité gouvernementale.

L'utilisation de l'IA agentique change le calcul défensif. Les méthodes de détection traditionnelles qui reposent sur la repérage des comportements de hackers manuels peuvent échouer face aux agents IA qui génèrent des sorties structurées, lisibles par machine et prennent des décisions autonomes. Les équipes de sécurité doivent désormais envisager comment détecter non seulement les signatures d'exploits connus, mais aussi les modèles comportementaux des agents automatisés, tels que l'utilisation de délimiteurs spécifiques et de commandes de reconnaissance rapides et séquentielles. Cela déplace l'accent de la défense périmétrique vers une surveillance plus profonde du runtime et la détection d'anomalies.

Ce que vous pouvez faire

• Mettez à jour PHP sur tous les hôtes vers la dernière version pour corriger immédiatement CVE-2026-109618 et CVE-2026-109619.
• Surveillez les logs pour la séquence spécifique d'une requête POST renvoyant une erreur 500, suivie d'une épuisement de la mémoire PHP et de plantages des workers Apache.
• Recherchez la présence de délimiteurs d'en-tête de section comme ==SHELLUSER== dans les sorties de commandes pour détecter une activité assistée par IA.
• Revoyez la configuration de session pour vous assurer que session.serialize_handler n'est pas commuté à l'exécution si ce n'est pas nécessaire, atténuant ainsi CVE-2026-115560.
• Implémentez la limitation de débit et l'analyse comportementale pour détecter les campagnes de scan lentes et furtives qui font tourner les nœuds.
• Utilisez des outils comme le scanner de Xint pour vérifier l'exposition à PHP2Shell dans votre infrastructure.