Évolutions des attaques PHP2Shell
Seulement deux jours après la publication de correctifs d'urgence pour traiter les failles PHP2Shell (enregistrées sous les références CVE-2026-109618 et CVE-2026-109619), des sociétés de cybersécurité ont détecté des tentatives intensives de la part d'acteurs malveillants pour exploiter ces vulnérabilités afin de déployer une variante du célèbre botnet Mirai. Malgré la gravité des failles, qui permettent l'exécution de code à distance (RCE) et ont obtenu un score CVSS v4.0 de 9,2, aucune compromission réussie en environnement réel n'a été confirmée à ce jour.
Défis techniques pour les attaquants
Les analyses publiées par des entreprises telles que Sophos et Hunt.io indiquent que les attaquants rencontrent des difficultés extrêmes pour convertir ces vulnérabilités en une exploitation efficace. Sansec a expliqué que les failles nécessitent une connaissance précise des configurations de serveur et des conditions d'exécution spécifiques, la plupart des outils disponibles publiquement échouant face aux paramètres PHP par défaut.
De son côté, la société VulnCheck a réussi à développer un exploit contournant la technique ASLR (randomisation de l'espace d'adressage) sur les systèmes x86-64, un mécanisme de protection de la mémoire qui constituait un obstacle majeur pour les attaquants. Néanmoins, cet exploit reste exclusivement accessible aux clients de l'entreprise, ce qui reflète le fossé entre les outils disponibles pour le grand public et les capacités offensives avancées.
Qu'est-ce qui change concrètement ?
- Complexité de l'exploitation : Des outils découverts sur les serveurs des attaquants (via SOCRadar) ont montré que ces derniers mènent des expériences de laboratoire intensives, mais échouent à pénétrer les serveurs réels qui ne correspondent pas à leurs environnements de test.
- Mesures de précaution : Les craintes liées à ces vulnérabilités ont conduit de nombreuses organisations, notamment des entités gouvernementales et éducatives en Europe, à arrêter temporairement leurs systèmes par mesure préventive pendant l'application des correctifs.
- Écart de mise à jour : Les données de Qualys ont révélé un défi majeur dans la gestion des correctifs, des millions de versions de PHP continuant de fonctionner avec des versions obsolètes (Fin de vie) qui ne recevront aucun correctif de sécurité, les exposant à des risques à long terme.
Contexte de sécurité
Les vulnérabilités ont été découvertes en août dernier par Wiz, OpenAI et Calif, et la publication des correctifs (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35) a été accélérée le 21 octobre après la fuite des identifiants CVE. Bien que des tentatives d'exploitation initiales aient été détectées par Amazon le 17 octobre, l'activité malveillante ne s'est pas traduite jusqu'à présent par des compromissions confirmées, offrant aux administrateurs système une fenêtre cruciale pour appliquer les correctifs avant que les attaquants ne développent des outils plus efficaces.