L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a répertorié deux vulnérabilités de sécurité critiques dans le langage de programmation PHP, connues collectivement sous le nom de vulnérabilités PHP2Shell, dans son catalogue des vulnérabilités exploitées dans des attaques réelles.
Détails des vulnérabilités et des attaques actives
Les deux vulnérabilités, portant les identifiants (CVE-2026-109618) et (CVE-2026-109619), permettent à des attaquants sans privilèges préalables de mener des attaques hautement complexes visant l'exécution de code à distance (RCE) sur les systèmes n'ayant pas reçu les mises à jour de sécurité nécessaires. Les équipes de sécurité de PHP avaient publié les mises à jour logicielles nécessaires pour corriger les deux vulnérabilités en octobre, après avoir détecté des tentatives d'exploitation à grande échelle par plusieurs entreprises de sécurité avant l'annonce publique.
Bien que les détails des vulnérabilités et certains codes de preuve de concept (PoC) aient été divulgués en ligne avant le lancement des correctifs officiels, l'équipe de sécurité de PHP a confirmé que ces tentatives n'étaient pas efficaces au début. Cependant, plusieurs entreprises de sécurité, dont Amazon et Cloudflare, ont documenté des tentatives d'exploitation ciblant les vulnérabilités seulement quelques jours avant le lancement des mises à jour officielles.
Directives urgentes pour les entités gouvernementales
À la suite de ces développements, la CISA a ajouté les vulnérabilités à son catalogue des vulnérabilités connues exploitées (KEV) et a obligé les agences de l'autorité exécutive civile fédérale (FCEB) à sécuriser leurs systèmes et à appliquer les correctifs nécessaires conformément à la directive opérationnelle contraignante (BOD 26-04). L'agence a averti que cette catégorie de vulnérabilités constitue un vecteur d'attaque courant qui menace directement les infrastructures et les institutions fédérales.
Qu'est-ce que ce développement signifie concrètement ?
Ces mises à jour revêtent une importance capitale en raison de la large diffusion du langage PHP ; les estimations de la plateforme VirusTotal indiquent que PHP alimente environ 70 % du total des sites web dans le monde, avec des millions d'hôtes exposés. Cette action de terrain de l'agence américaine et la rapidité de réponse des équipes de réponse aux incidents reflètent la nécessité pour les organisations technologiques d'adopter des plans de gestion des vulnérabilités basés sur les risques afin de traiter immédiatement toute vulnérabilité critique dont l'exploitation est confirmée dans le cyberespace.