Les chercheurs en cybersécurité de la division Amazon Threat Intelligence ont confirmé que des attaquants ont commencé à cibler les vulnérabilités dangereuses PHP2Shell quatre jours entiers avant la publication officielle des correctifs de sécurité.
Les deux vulnérabilités critiques portent les identifiants CVE-2026-109618 et CVE-2026-109619 et permettent aux attaquants d'exécuter du code à distance (RCE) sur les systèmes infectés. L'équipe de développement du langage PHP s'est empressée de publier les correctifs nécessaires le 21 octobre, un jour après avoir exhorté les administrateurs système à se préparer à installer les mises à jour dès leur disponibilité.
Divulgation des détails des vulnérabilités et accélération du calendrier
L'équipe PHP a expliqué que les choses se sont accélérées contrairement au plan initial deux jours avant la divulgation complète, suite à la fuite en ligne de détails techniques concernant les vulnérabilités PHP2Shell, incluant les identifiants CVE et des conseils d'atténuation destinés à certains fournisseurs d'infrastructures critiques. Bien que certaines preuves de concept (PoC) d'exploitation aient été publiées avant le lancement des mises à jour, l'équipe PHP a souligné qu'elles étaient dépourvues de toute capacité fonctionnelle réelle d'intrusion à ce moment-là.
Opérations d'exploitation sur le terrain et débuts
Le rapport d'Amazon fait suite à la détection par plusieurs sociétés de sécurité, dont Cloudflare, watchTowr, Previdian, Hadrian et Patchstack, de tentatives d'exploitation infructueuses ayant précédé la divulgation publique. Selon les déclarations de CJ Moses, responsable de la sécurité de l'information chez Amazon Web Services (AWS), les premières tentatives ont débuté le samedi 17 octobre à partir d'adresses IP appartenant à un réseau commercial d'anonymisation.
Moses a ajouté que les charges utiles réelles et les infrastructures utilisées pour masquer l'identité variaient, ce qui suggère l'implication de plusieurs groupes d'attaquants. Il a mis en garde les défenseurs contre le fait de considérer la date de divulgation publique comme la date la plus ancienne du début des attaques, confirmant que les vulnérabilités font actuellement l'objet d'une exploitation généralisée dans la nature.
Qu'est-ce que cela signifie pour les systèmes et les sites ?
Le langage PHP (Hypertext Preprocessor) constitue la base logicielle ouverte qui alimente environ 80 % de l'ensemble des sites Web sur Internet, y compris les plateformes de gestion de contenu populaires telles que WordPress, Drupal et Joomla. Les données de la plateforme VirusTotal indiquent l'existence de plus de 5,1 millions de serveurs PHP exposés sur Internet, dont environ 3,8 millions possèdent au moins un port ouvert aux attaques potentielles, ce qui rend l'impact potentiel extrêmement vaste.