Amazon: les attaques PHP2Shell ont débuté avant les correctifs

Des attaquants ont multiplié les tentatives pour exploiter les vulnérabilités PHP2Shell, deux failles critiques dans le langage de programmation PHP. Amazon affirme que la première tentative observée a eu lieu quatre jours avant la publication des correctifs. Malgré cela, les responsables européens de la cybersécurité indiquent que les pirates ont eu du mal à transformer ces failles en attaques opérationnelles, ce qui laisse planer le doute sur les dommages réels causés par la fuite et la divulgation précipitée.

Une vague de tentatives

Le PDG de Cloudflare, Matthew Prince, a déclaré jeudi que son entreprise avait constaté "des millions" de tentatives d'exploitation, selon Politico. Cloudflare a comptabilisé des milliers de tentatives dans les 10 heures précédant l'annonce publique, des dizaines de milliers dans les 45 minutes suivantes et des centaines de milliers en deux heures, d'après The Register. Cloudflare a également précisé que les attaquants ajustaient leurs charges utiles pour tenter de contourner ses règles de pare-feu.politico.eu+1

Les failles sont répertoriées sous les références CVE-2026-109618 et CVE-2026-109619. Toutes deux ont un score de sévérité de 9.2 et permettent à un attaquant d'exécuter du code sur un serveur sans s'authentifier. PHP a publié des correctifs le 21 octobre pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon Security Affairs. L'équipe PHP a dû avancer sa date de sortie après la fuite des détails des bugs en ligne, a rapporté BleepingComputer.bleepingcomputer.com+1

La détection précoce d'Amazon

Dans un article de blog, Amazon Threat Intelligence a indiqué que son réseau de honeypots MadPot, un ensemble de systèmes leurres conçus pour attirer les attaquants, a enregistré une tentative d'exploitation PHP2Shell le samedi 17 octobre. La tentative provenait d'une adresse IP liée à un réseau d'anonymisation commercial. "Il reste difficile de savoir comment l'acteur a obtenu des informations sur l'exploit avant la divulgation", a écrit CJ Moses, responsable de la sécurité de l'information chez Amazon.aws.amazon.com

Le 21 octobre, Amazon a détecté plusieurs exploits de type preuve de concept à partir de 02:00 UTC, environ 12 heures avant la publication officielle à 14:00 UTC. Les charges utiles variaient, ce qui, selon Amazon, indique la présence de plusieurs acteurs. L'entreprise a affirmé que PHP2Shell "est désormais largement exploité dans la nature", mais a ajouté qu'il n'est pas certain que ces tentatives aient fonctionné contre des systèmes réels. Amazon a conseillé aux organisations de rechercher toute activité suspecte remontant au moins au 17 octobre, a rapporté The Register.theregister.com

Peu de succès constatés par les autorités

Thomas Caspers, vice-président de l'agence de cybersécurité allemande BSI, a déclaré à Politico que l'agence avait observé des attaques mais aucune exploitation réussie. "Cela semble un peu plus compliqué à exploiter que prévu", a-t-il déclaré. Matthijs van Amelsfort, chef de l'agence néerlandaise de cybersécurité, a indiqué qu'il n'y avait aucun signe que la faille soit "activement utilisée à mauvais escient", tout en prévenant que cela pourrait changer.politico.eu

Plusieurs ministères européens ont mis leurs sites web hors ligne par mesure de précaution. Jeudi matin, les sites web du ministère français de la Justice et de son autorité de protection des données affichaient toujours des avis de maintenance, a rapporté Politico.politico.eu