Cloudflare enregistre des millions de tentatives d’exploitation PHP2Shell

Cloudflare a suivi une montée en flèche des attaques après la révélation de failles critiques dans le langage de programmation PHP. Le PDG Matthew Prince a indiqué que les tentatives sont passées de milliers à des millions en quelques heures. Des sites gouvernementaux en Europe et en Asie ont été mis hors ligne par précaution pendant que les administrateurs se précipitaient pour installer les correctifs d'urgence publiés le mercredi 21 octobre.

"Dans les 10 heures précédant l'annonce publique, sur le réseau @Cloudflare, nous avons vu des milliers de tentatives d'exploitation. Ce chiffre a bondi à des dizaines de milliers dans les 45 minutes suivant l'annonce, des centaines de milliers en 2 heures, et des millions maintenant", a écrit Prince sur X. Reuters a rapporté qu'il a publié ce message tard mercredi. Prince a également précisé que Cloudflare avait conçu un nouveau type de pare-feu d'application web pour bloquer ces attaques et l'avait activé gratuitement pour tous ses clients.reuters.com+2

Failles et correctifs

Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont regroupées sous le nom de PHP2Shell. Toutes deux sont notées 9.2 sur 10 en termes de gravité et permettent l'exécution de code à distance sans authentification. Les correctifs sont intégrés dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon SecurityWeek. Les failles affectent presque toutes les versions de PHP depuis la 5.4. PHP a avancé sa date de publication après la fuite des détails en ligne un jour plus tôt, a rapporté Notebookcheck. La NSA a averti que les attaquants pourraient utiliser ces failles pour prendre le contrôle de serveurs web, voler des données ou s'infiltrer plus profondément dans les réseaux.nsa.gov+2

Certaines attaques ont débuté avant la divulgation. Le responsable de la sécurité d'Amazon, CJ Moses, a déclaré que les serveurs leurres de l'entreprise avaient été ciblés dès le 17 octobre, alors que les failles étaient encore sous embargo. Il a ajouté que PHP2Shell "est désormais largement exploité dans la nature".cybernews.com

Sites web hors ligne

Le site web du gouvernement finlandais a été partiellement désactivé. Le conseil municipal d'Oxford, le conseil municipal d'Édimbourg et l'Office for Budget Responsibility britannique ont mis leurs sites hors ligne, a rapporté The Independent. Le Centre national de cybersécurité britannique a conseillé aux organisations ne pouvant pas effectuer la mise à jour immédiatement d'envisager de fermer leurs sites web. Au Japon, le Mitsubishi UFJ Financial Group a suspendu certains services internet et le ministère des Finances a mis en pause une partie du contenu de son site, selon Reuters. La Première ministre Sanae Takaichi a exhorté les propriétaires de sites à vérifier s'ils utilisent PHP.independent.co.uk+1

Le rôle de l'IA

La société de sécurité Calif a découvert les failles en août alors qu'elle participait à un programme d'OpenAI utilisant des modèles d'IA pour détecter et corriger les vulnérabilités, a rapporté Cybernews. OpenAI a qualifié l'incident de "l'un des problèmes de sécurité les plus marquants de mémoire récente" et a noté que l'IA peut aider aussi bien les attaquants que les défenseurs, a rapporté The Independent.independent.co.uk+1

Ciaran Martin, ancien chef du NCSC, a averti que les données volées pourraient alimenter de futures fraudes. "Tout ce genre d'escroqueries et de fraudes est ainsi suralimenté", a-t-il déclaré.