Détails des attaques proactives
Des rapports émanant de l'équipe de veille sur les menaces d'Amazon (Amazon Threat Intelligence) ont confirmé que des acteurs malveillants ont tenté d'exploiter des vulnérabilités de sécurité critiques dans le langage de programmation PHP quelques jours avant la publication des mises à jour officielles. Les systèmes de surveillance d'Amazon ont détecté des tentatives d'exploitation d'une faille connue sous le nom de PHP2Shell le 17 octobre, soit avant l'annonce officielle du correctif.
Les vulnérabilités découvertes concernent les identifiants CVE-2026-109618 et CVE-2026-109619, qui permettent à des attaquants d'exécuter à distance du code malveillant sur les systèmes infectés. Bien qu'Elizabeth Baron, directrice générale de la PHP Foundation, ait confirmé l'absence de preuves quant à la réussite d'exécutions de code à distance pour le moment, elle a insisté sur la nécessité de mettre à jour immédiatement les systèmes.
Pourquoi le correctif a-t-il été retardé ?
La PHP Foundation a expliqué que les vulnérabilités étaient connues en théorie depuis 2024, mais que le traitement de ces failles s'était heurté à des défis techniques complexes, notamment le maintien de la rétrocompatibilité (Backward Compatibility), l'évitement d'attaques par déni de service, ainsi que la difficulté de coordination avec les développeurs de modules tiers. À l'approche de la date de lancement de la solution, les détails des vulnérabilités ont commencé à filtrer sur les forums et les plateformes de réseaux sociaux, offrant aux attaquants l'opportunité de les exploiter avant que la protection ne soit disponible.
Qu'est-ce qui change concrètement ?
La PHP Foundation a reconnu une faille dans la gestion des crises de sécurité et s'est engagée à modifier ses processus internes pour garantir que les vulnérabilités critiques nécessitant des solutions complexes parviennent plus rapidement à la direction. L'objectif est d'accélérer le rythme de prise de décision et de surmonter les arbitrages techniques difficiles qui pourraient entraver la publication des mises à jour en temps voulu.
Cet incident sert de rappel brutal des risques liés aux "fuites d'informations" avant une divulgation responsable. Le rapport d'Amazon a indiqué que les attaquants ont pu identifier la faille avant le début des fuites publiques, suggérant la présence d'acteurs surveillant de près les modifications dans les référentiels de code source ou exploitant les périodes d'embargo (Embargo) pour rechercher des vulnérabilités non divulguées.