Les serveurs et applications Web font face à une vaste vague d'attaques intenses ciblant de graves failles PHP2Shell, tandis que des entreprises de cybersécurité confirment que le taux de compromissions réussies reste extrêmement limité malgré l'ampleur des tentatives.
Dans cette campagne, les pare-feu de Palo Alto Networks se sont distingués, un groupe de pirates lié à la Chine ayant réussi à en compromettre un certain nombre en combinant l'exploitation de failles PHP2Shell avec la vulnérabilité d'élévation de privilèges du noyau Linux connue sous le nom de Fragnesia, afin de déployer des logiciels malveillants avec des privilèges root.
Détails du ciblage des appareils Palo Alto
Palo Alto Networks a confirmé les résultats révélés par des entités de sécurité, expliquant que les attaquants ont exploité, à l'aide d'outils d'intelligence artificielle, les vulnérabilités codées (CVE-2026-109618) et (CVE-2026-109619) dans les appareils PAN-OS liés aux interfaces de gestion exposées sur Internet. La société a publié des mises à jour logicielles urgentes pour corriger le dysfonctionnement dans les versions concernées des séries de pare-feu PA-Series et VM-Series, ainsi que des systèmes Panorama.
L'entreprise a précisé que l'interface de gestion par défaut n'est pas exposée à Internet par nature, indiquant qu'un pourcentage très faible, estimé à environ 0,02 % de sa base de clients mondiale, a été touché par ces interfaces exposées, et que les clients concernés ont été contactés directement pour appliquer les correctifs nécessaires.
Large impact sur les serveurs PHP et échec face à WordPress
Les données de télémétrie de l'entreprise ont montré que plus de 22,6 millions de versions de PHP sont potentiellement exposées au danger des failles PHP2Shell en raison de l'utilisation intensive du langage dans les systèmes de gestion de contenu tels que WordPress, Drupal et Joomla.
Malgré l'enregistrement de milliers de requêtes de balayage et d'attaques ciblant des plateformes telles que WordPress, la société de cybersécurité Defiant a confirmé qu'aucune compromission réussie de sites WordPress n'a été enregistrée à ce jour, attribuant cela au besoin constant d'adapter les exploits pour qu'ils correspondent aux environnements des serveurs ciblés, aux configurations de mémoire et aux versions de PHP.
Qu'est-ce qui importe pour les administrateurs système ?
Cette campagne confirme que les cyberattaques actuelles reposent de plus en plus sur le chaînage de multiples vulnérabilités (Chaining) pour obtenir des privilèges complets dans les infrastructures sensibles. Alors que la plupart des tentatives d'exploitation documentées par des entreprises telles que Cato Networks se sont concentrées sur l'exécution de code à distance (RCE) et ont ciblé divers secteurs tels que la santé et la technologie, le très faible nombre de compromissions réussies souligne l'importance d'une mise à jour immédiate et de la restriction de l'accès direct aux interfaces de gestion via Internet.