// CLUBIC — CYBERSECURITY
PHP2Shell : des pirates ont réussi à exploiter les failles critiques de PHP, la CISA confirme la menace
Les failles critiques de PHP2Shell ne donnent plus seulement lieu à des tentatives d'exploitation. Des pirates sont parvenus à exécuter des commandes sur plusieurs serveurs vulnérables, confirmant que les attaques peuvent aboutir.
Jusqu'ici, les nombreuses tentatives d'exploitation de PHP2Shell n'avaient apporté aucune preuve aussi solide de leur réussite. Des chercheurs d'Amazon avaient bien repéré des attaques dès le 17 octobre, quatre jours avant la publication des correctifs, mais les outils employés semblaient incapables d'aboutir. La situation a fini par évoluer le 24 octobre dernier, lorsqu'un chercheur de Perplexity a constaté que des pirates étaient parvenus à exécuter des commandes sur ses serveurs leurres.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Dans le détail, Adel Karimi, responsable de la détection et de la réponse aux incidents chez Perplexity, a observé 35 exécutions de shell sur trois honeypots, des serveurs leurres destinés à attirer les cybercriminels. Les attaques provenaient de deux adresses IP et ciblaient des installations Apache utilisant le module mod_php, sous PHP 8.4.26, une version vulnérable.
Les traces recueillies permettent de suivre la progression des pirates. Ils ont d'abord poussé PHP jusqu'à l'épuisement de sa mémoire, puis récupéré environ 800 Kio de données internes. Ils ont ensuite utilisé ces informations pour identifier une adresse de fonction en mémoire et construire une nouvelle requête capable de déclencher l'exécution d'une commande sur le serveur.
Cette fois, il ne s'agit donc plus d'un simple plantage laissant supposer qu'une attaque pourrait fonctionner. Les chercheurs ont pu relier les données récupérées à la commande effectivement exécutée. Les opérations observées correspondent à l'exploitation de CVE-2026-109618, l'une des deux vulnérabilités PHP2Shell, sans démontrer que CVE-2026-109619 a également été utilisée.
Les serveurs ciblés avaient toutefois été configurés pour faciliter les attaques, notamment en limitant Apache à un seul processus de traitement. Ces résultats confirment l'existence d'une méthode fonctionnelle, mais ne permettent pas d'en mesurer l'efficacité sur d'autres installations PHP.
Ces observations interviennent alors que les autorités américaines ont durci leur évaluation de la menace. Le 23 octobre, la CISA avait publié une règle de détection destinée à identifier les tentatives d'exploitation de PHP2Shell, sans encore considérer les attaques comme confirmées. Trois jours plus tard, l'agence a ajouté CVE-2026-109618 et CVE-2026-109619 à son catalogue KEV, qui recense les vulnérabilités exploitées dans des attaques réelles.
Ce changement de statut ne dit pas combien de sites ont été compromis. Pour les administrateurs, il renforce toutefois deux priorités : corriger les serveurs vulnérables et rechercher d'éventuelles traces d'intrusion antérieures aux mises à jour.
Pour rappel, les deux failles, notées 9,2 sur 10 selon le référentiel CVSS, ont été corrigées le 21 octobre dans PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les mesures de protection provisoires recommandées par l'équipe de sécurité de PHP ne couvrent pas tous les scénarios d'exploitation et ne remplacent donc pas l'installation des correctifs.