Les failles PHP2Shell exploitées avant leur divulgation publique

L'équipe de renseignement sur les menaces d'Amazon a détecté des tentatives d'exploitation actives contre son infrastructure de honeypots dès le 17 octobre 2026, visant des vulnérabilités critiques du cœur de PHP connues sous le nom de PHP2Shell. Cette activité s'est produite cinq jours avant la divulgation publique coordonnée des failles, indiquant que les acteurs malveillants avaient accès aux détails de l'exploit alors que les correctifs étaient encore sous embargo.

Ce qui s'est passé

Les vulnérabilités, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, affichent un score CVSS de 9,2 et permettent l'exécution de code à distance sans authentification préalable. Des chercheurs de Calif, OpenAI et Wiz ont découvert ces problèmes, qui affectent toutes les versions PHP de la série 7.x et 8.x. La Fondation PHP avait initialement prévu la divulgation coordonnée pour le 22 octobre 2026 à 14h00 UTC, mais a avancé la sortie d'un jour après que des exploits de preuve de concept (PoC) et des identifiants CVE ont été divulgués prématurément.

Amazon a enregistré la première sonde connue provenant d'une adresse IP associée à un réseau d'anonymisation commercial, géolocalisée en Australie. CJ Moses, CISO d'Amazon Integrated Security, a noté que bien qu'il reste flou comment l'acteur a acquis ces informations, l'utilisation d'une infrastructure anonymisée suggère une activité malveillante délibérée plutôt qu'un simple scan accidentel. Suite à la fuite, plusieurs autres acteurs ont lancé des attaques utilisant des charges utiles variées depuis différentes adresses IP anonymisées dans les heures suivant la publication du correctif.

L'exposition prématurée a été aggravée lorsque Chainguard a publié des images de conteneurs contenant le correctif avant l'annonce officielle. Cela a permis aux attaquants d'étudier la différence binaire et de rétro-ingénierer la vulnérabilité alors que la plupart des utilisateurs ignoraient encore le risque. La Fondation PHP a critiqué cette initiative, déclarant qu'elle ignorait des semaines d'efforts coordonnés et donnait aux attaquants une avance pour développer des exploits fiables.

Fonctionnement

Ces failles résident dans les sous-systèmes de gestion de la mémoire et de traitement des erreurs de PHP, des composants qui traitent presque chaque requête. Parce que les vulnérabilités sont profondément ancrées dans le cœur de l'environnement d'exécution, elles ne dépendent pas de systèmes de gestion de contenu, de frameworks ou de plugins spécifiques. Un attaquant peut déclencher l'exécution de code à distance sur n'importe quel point d'accès PHP atteignable, y compris les formulaires statiques, les pages de connexion et les vérifications de santé, sans avoir besoin de s'authentifier ou de voler une session.

CrowdStrike souligne que ces attaques laissent très peu de traces numériques. Puisque l'exploit se produit avant l'exécution du code de l'application, les journaux du serveur web affichent généralement des réponses HTTP 200 normales et des processus travailleurs stables. Le seul indicateur potentiel est une erreur fatale liée à la limite de mémoire dans le journal d'erreurs du serveur web, que les administrateurs considèrent souvent comme du bruit routinier. Ce manque de télémétrie exploitable rend les pare-feu d'applications web traditionnels et la surveillance des journaux inefficaces pour la détection.

Détails clés

• Les vulnérabilités affectent toutes les versions PHP 7.x et 8.x, posant des risques à environ 4,38 millions de services exposés sur Internet.
• Des tentatives d'exploitation ont été détectées dès le 17 octobre 2026, cinq jours avant la sortie publique du correctif.
• Les attaques ne laissent presque aucune trace dans les journaux d'application, avec seulement des erreurs mémoire obscures côté serveur comme indicateurs potentiels.
• Plus de 79 % des services PHP exposés sur Internet fonctionnent sur des branches non supportées, augmentant la surface d'attaque globale.
• Plusieurs acteurs de menace ont utilisé des réseaux anonymisés et des charges utiles mutées pour contourner les protections de sécurité initiales.
• Des agences gouvernementales, dont CISA, NCSC et NSA, ont émis des avis urgents pour appliquer les correctifs ou mettre les systèmes hors ligne.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables IT, PHP2Shell représente un défi majeur car il contourne de nombreuses couches de défense standard. Puisque la vulnérabilité existe dans l'environnement d'exécution lui-même, la mise à jour d'un plugin CMS ou l'ajustement des configurations du framework n'offre aucune protection. La prévalence massive de PHP, qui propulse près de 70 % des sites web, signifie que même des services petits et obscurs peuvent devenir des points d'entrée pour une compromission réseau plus large s'ils exécutent des versions PHP vulnérables.

L'incident met également en lumière une dynamique changeante dans la divulgation des vulnérabilités. Comme l'a observé CJ Moses, l'analyse assistée par IA réduit le temps entre la sortie du correctif et la création d'un exploit fonctionnel. Les attaquants peuvent désormais analyser rapidement les différences binaires des premières sorties, telles que celles de Chainguard, pour construire des armes avant que la majorité des utilisateurs n'aient appliqué les mises à jour. Cela réduit la fenêtre de sécurité traditionnellement fournie par la divulgation coordonnée et exige des cycles de remédiation interne plus rapides.

Que pouvez-vous faire

• Mettez immédiatement à jour toutes les instances PHP vers les dernières versions corrigées, en priorisant les serveurs exposés sur Internet.
• Auditez votre infrastructure pour identifier tout service PHP fonctionnant sur des branches en fin de vie comme 5.x, 7.4 ou 8.1.
• Implémentez des capacités de surveillance des processus pour détecter les lancements inattendus de shells ou les téléchargements de fichiers par les travailleurs PHP.
• Examinez spécifiquement les journaux d'erreurs du serveur web pour repérer les erreurs fatales liées à la limite de mémoire pouvant indiquer des tentatives d'exploitation.
• Utilisez des outils tels que la compétence Codex d'OpenAI ou des scanners spécifiques aux fournisseurs pour vérifier les binaires locaux et les sites web pour la vulnérabilité.
• Envisagez de mettre temporairement hors ligne les services PHP non critiques si la mise à jour immédiate n'est pas réalisable en raison de contraintes de compatibilité.