La Corée du Sud en alerte face à la propagation des attaques PHP2Shell

Les gouvernements et les entreprises du monde entier ont passé la semaine à corriger leurs serveurs ou à mettre leurs sites web hors ligne suite à la divulgation de PHP2Shell. Ce nom désigne deux failles critiques dans PHP, le langage de programmation qui alimente environ 70 % des sites web mondiaux, toutes deux découvertes grâce à des outils d'IA. Le mercredi 21 octobre, le projet PHP a publié des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619. Ces deux failles permettent à un attaquant non authentifié d'exécuter du code sur un serveur vulnérable. Le FBI et la NSA ont conseillé aux organisations ne pouvant pas mettre à jour leurs systèmes immédiatement de les déconnecter.edition.cnn.com+1

L'exploitation a commencé avant le correctif

Amazon a déclaré que son réseau leurre avait enregistré une tentative d'exploitation le 17 octobre, quatre jours avant que les failles ne soient rendues publiques. L'entreprise qualifie désormais PHP2Shell d'attaque "largement exploitée dans la nature". "Une fois l'embargo levé et le correctif publié, des preuves de concept supplémentaires sont apparues en quelques heures", a précisé Amazon. Les identifiants des failles ayant fuité le 20 octobre, l'équipe de PHP a avancé sa publication initialement prévue pour le 22 octobre.hwbusters.com+2

Des sites web gouvernementaux ont été mis hors service à travers l'Europe. Au Royaume-Uni, 32 services publics ont été contraints de se déconnecter. Jeudi, le Bureau de la sécurité nationale de Corée du Sud a tenu une réunion d'urgence avec des responsables civils, gouvernementaux et militaires. Le pays a également relevé son niveau d'alerte aux cybermenaces pour le secteur privé, passant de "intérêt" à "prudence". Le directeur adjoint Song Ki-ho a déclaré que la rapidité de la réponse déterminerait l'ampleur des dégâts.upi.com+2

L'IA a transformé une vieille faiblesse en crise

Des chercheurs de la société de sécurité Calif ont découvert les failles en travaillant sur l'initiative Patch the Planet d'OpenAI. Wiz a par la suite découvert des exploits connexes de son côté. OpenAI a qualifié ce bug de "l'une des vulnérabilités les plus marquantes de mémoire récente". CNN rapporte que la faiblesse sous-jacente avait été signalée pour la première fois en 2004, mais qu'elle était trop fastidieuse à exploiter pour les humains, alors que l'IA a trouvé comment l'attaquer en deux jours. Calif a précisé n'avoir utilisé que des modèles d'IA accessibles au public.edition.cnn.com+1

Adam Meyers, de CrowdStrike, a averti que de nombreuses versions obsolètes de PHP sont toujours en service. "Les pirates n'ont pas besoin de trouver la vulnérabilité en premier, ils peuvent l'utiliser comme une arme après coup", a-t-il déclaré.edition.cnn.com

Avertissements sur un "tsunami de vulnérabilités"

Le directeur adjoint de la sécurité de l'information chez Anthropic, Jason Clinton, a prévenu sur X qu'un "tsunami de vulnérabilités" arrivait. "Aussi grave que soit la situation ces 4 derniers jours, elle va empirer avant de s'améliorer", a-t-il écrit. Il a exhorté les responsables de la sécurité à demander de l'aide à leurs conseils d'administration pour "les bases", ajoutant : "nous devons tenir bon pendant environ 18 mois". Le PDG de Salesforce, Marc Benioff, a approuvé. "Jason a 100 % raison. Code rouge", a-t-il publié jeudi.businessinsider.com

Tout le monde ne perçoit pas le même niveau de danger. Mercredi, la directrice exécutive de la PHP Foundation, Elizabeth Barron, a déclaré à CNBC qu'il n'y avait "aucune preuve d'exploits fonctionnels". Des chercheurs de Tolmo ont cependant affirmé avoir créé un exploit fonctionnel en moins d'une journée.cnbc.com