Palo Alto confirme que toutes les versions de PAN-OS sont exposées à PHP2Shell

Des gouvernements en Europe et au Japon ont mis leurs sites hors ligne le mercredi 21 octobre, après la révélation de deux failles critiques dans PHP, regroupées sous le nom de PHP2Shell. PHP est le langage serveur utilisé par environ 70% des sites web dont le langage back-end est identifiable. Les agences américaines ont conseillé aux organisations de corriger immédiatement ou de déconnecter les systèmes non sécurisables. Parallèlement, Palo Alto Networks a confirmé que toutes les versions de PAN-OS et Panorama sont affectées et qu'aucune version corrigée n'est disponible pour le moment.helpnetsecurity.com+1

Les failles, CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score de 9.2. Elles permettent à un attaquant d'exécuter du code sur un serveur sans se connecter. La divulgation était prévue pour le 22 octobre, mais les détails ayant fuité en ligne le 20 octobre, le projet PHP a publié des correctifs avec un jour d'avance dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.kyoceradocumentsolutions.com

Fermetures et avertissements officiels

Les sites web gouvernementaux en Allemagne, en France, en Belgique, aux Pays-Bas, en Finlande et en République tchèque ont été temporairement désactivés. Le Japon a suspendu certains services web de ses ministères des Finances et de la Santé, et le groupe financier Mitsubishi UFJ a mis en pause certains services en ligne par précaution. La NSA, le FBI et la CISA ont déclaré que les systèmes devaient être mis hors ligne s'ils ne pouvaient pas être sécurisés rapidement. Au moment de la publication, la CISA a déclaré n'avoir "observé aucune exploitation". Le FBI a demandé aux organisations d'inventorier l'utilisation de PHP, en commençant par les systèmes exposés à Internet et les produits intégrant PHP.newsweek.com+2

Cloudflare a déclaré que les clients de ses plans de pare-feu d'applications web, gratuits ou payants, sont protégés par défaut depuis le 21 octobre à 3h02 UTC, soit environ neuf heures avant la divulgation publique. Son CTO, Dane Knecht, a qualifié ces règles de temporaires et a conseillé aux administrateurs d'installer les mises à jour de PHP.blog.cloudflare.com+1

Les fournisseurs réseau en cours d'évaluation

Palo Alto qualifie le risque pour PAN-OS d'élevé et précise qu'il est maximal lorsqu'une interface de gestion accepte des connexions depuis Internet. En attendant les correctifs, l'entreprise recommande de limiter l'accès aux adresses IP internes de confiance et d'utiliser ses signatures de prévention des menaces. Fortinet enquête toujours sur 12 produits et en a blanchi 12 autres, dont FortiOS. Cisco examine 31 produits et services cloud, n'a pas encore confirmé de vulnérabilité et indique qu'il n'existe aucune solution de contournement.helpnetsecurity.com

Une situation d'exploitation floue

Des chercheurs de Calif et Wiz ont découvert les bugs avec l'aide de modèles d'IA. L'unité 42 de Palo Alto a recensé plus de 22,6 millions d'instances exposées à Internet potentiellement vulnérables. Des fournisseurs de sécurité, dont Hadrian et Patchstack, signalent désormais des exploitations au-delà des systèmes leurres, bien que les agences officielles ne l'aient pas confirmé. VulnCheck précise que seule une poignée d'exploits de preuve de concept publics utilisent le mécanisme correct. La directrice exécutive de la PHP Foundation, Elizabeth Barron, a déclaré à CNBC qu'il n'y avait "aucune preuve d'exploits fonctionnels". Le chercheur de Tolmo, Matt Suiche, n'est pas d'accord, affirmant que son équipe a créé un exploit fonctionnel en moins d'une journée.cnbc.com+3