Des failles de sécurité PHP2Shell exploitées avec succès

Fingers playing piano keys in warm light — Garvit Nama / Unsplash

Deux vulnérabilités critiques d'exécution de code à distance, identifiées sous les codes CVE-2026-109618 et CVE-2026-109619 et suivies collectivement sous le nom de PHP2Shell, ont été exploitées avec succès dans la nature.

L'activité malveillante a été détectée par Perplexity, dont les pots de miel ont enregistré des preuves d'exécution de code à distance confirmées contre une installation Apache mod_php utilisant PHP 8.4.26. Les preuves montrent une exécution de code à distance avec une divulgation de mémoire utilisable, incluant un dump de cookie décodé de 800 KiB et une adresse de fonction dérivée de ce dump. Cette chaîne a été démontrée sur un profil mod_php à travailleur unique, ce qui ne constitue pas une mesure de la fiabilité de l'exploitation sur d'autres configurations de travailleurs, versions de PHP ou applications.

Ces conclusions ont été confirmées par Expel. Auparavant, plusieurs entreprises de cybersécurité, dont Cloudflare, Hadrian, watchTowr, Previdian et Patchstack, avaient détecté des tentatives d'exploitation avant la divulgation publique, mais les avaient toutes signalées comme étant sans succès. De même, Amazon Threat Intelligence avait repéré des attaquants ciblant ces vulnérabilités quatre jours avant la sortie des correctifs, mais l'activité était alors limitée au scan, à l'empreinte numérique et à l'utilisation d'exploits non fonctionnels.

L'équipe de sécurité de PHP a corrigé les failles PHP2Shell le mercredi 21 octobre, après avoir demandé aux administrateurs de se préparer à installer les mises à jour. Bien que des détails sur les failles et certains exploits de preuve de concept aient fuité en ligne avant la publication des correctifs, l'équipe de sécurité a affirmé qu'aucun n'était fonctionnel. La Cybersecurity and Infrastructure Security Agency a partagé une règle de détection SIGMA vendredi, bien que l'agence n'ait pas encore signalé que les failles étaient exploitées dans la nature.

Par ailleurs, l'équipe de sécurité de PHP a partagé des mesures d'atténuation pour une nouvelle vulnérabilité d'exécution de code à distance, CVE-2026-115560, qui ne possède pas encore de correctif. Cette faille ne peut être exploitée que sur des systèmes présentant une combinaison inhabituelle de configuration et de code d'application. Les développeurs conseillent aux administrateurs de régler session.upload_progress.enabled=0 pour bloquer les attaques potentielles.