Un chercheur confirme l’exploitation active des failles PHP2Shell

Des attaquants ont utilisé les vulnérabilités PHP2Shell pour exécuter des commandes shell sur des serveurs leurres. Le chercheur ayant observé cette activité l'a décrite comme une exécution de code à distance confirmée, une étape dépassant les simples scans et plantages signalés précédemment. Avant cela, les entreprises de sécurité avaient enregistré des millions de tentatives d'exploitation depuis que les failles ont été rendues publiques la semaine dernière, mais aucune n'avait confirmé l'exécution réelle de code, a rapporté SecurityWeek.securityweek.com

Des honeypots enregistrent 35 shells

Adel Karimi, chercheur chez Perplexity, gère des honeypots hébergeant des pages PHP classiques. Ils utilisent PHP 8.4.26 sous Apache mod_php avec un seul processus. Son premier rapport couvrait un peu plus de 26 heures et a enregistré 30 erreurs de mémoire insuffisante et 11 plantages de processus, sans exécution de code. Cependant, le 24 octobre, ses capteurs ont enregistré 35 shells sur trois honeypots. Une adresse IP a produit trois shells et une autre en a généré 32, selon SecurityWeek.securityweek.com

Les attaquants ont utilisé une chaîne de requêtes HTTP en quatre étapes. Les premières requêtes ont épuisé la mémoire de PHP, les suivantes ont divulgué le contenu de la mémoire, et la dernière a exécuté une commande shell. Le trafic correspondait étroitement à une preuve de concept publique pour CVE-2026-109618, et aucune charge utile de seconde étape n'a été téléchargée. "Il s'agit désormais d'une RCE confirmée avec divulgation de mémoire exploitable, et non plus seulement d'un plantage suivi d'un processus suspect", a déclaré Karimi. Il a ajouté que la commande shell s'est exécutée environ 1,6 milliseconde après la requête finale.bleepingcomputer.com+1

Karimi a averti que son installation était "intentionnellement favorable" et ne mesure pas la fiabilité de l'exploit sur d'autres configurations. Le chercheur d'Expel, Marcus Hutchins, a qualifié ces résultats de "confirmation de loin la plus qualitative de l'exploitation de PHP2Shell dans la nature que j'aie vue jusqu'à présent". Au matin du 26 octobre, la CISA n'avait pas encore ajouté ces failles à son catalogue de vulnérabilités exploitées connues.securityweek.com

Correctifs après une fuite

Les deux failles sont notées 9,2 sur l'échelle CVSS 4.0 et permettent à des attaquants non authentifiés d'exécuter du code en corrompant la mémoire interne de PHP lors de l'échec du traitement des requêtes. PHP les a corrigées le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon Beazley Security. PHP a avancé la publication d'un jour après la fuite des identifiants CVE sur Hacker News. Amazon a enregistré une tentative d'exploitation le 17 octobre, quatre jours avant la divulgation. Au 23 octobre, plus de 34,4 millions de services PHP étaient toujours considérés comme vulnérables.labs.beazley.security+3

Le "Octobre Noir" de l'IA

Des chercheurs de Wiz et Calif ont découvert les failles en août en utilisant des modèles d'IA d'OpenAI et Google, rapporte CNBC. La vague de bugs découverts par l'IA a été surnommée "Octobre Noir", et certaines organisations ont mis leurs sites hors ligne le temps d'appliquer les correctifs. Les investisseurs ont parié que cet épisode augmenterait les dépenses en cybersécurité. Les actions d'Okta ↗ 2.75%, Palo Alto Networks ↗ 2.88% et CrowdStrike ↗ 2.36% ont progressé la semaine dernière, selon Zacks via The Globe and Mail. Néanmoins, Arctic Wolf a rapporté "relativement peu de preuves d'une exploitation fiable à grande échelle".theglobeandmail.com+3