PHP2Shell : une administration européenne piratée via les failles PHP critiques

Le 25 octobre 2026, la presse spécialisée a relayé le premier cas d'exploitation documenté de « PHP2Shell » : selon l'unité 42 de Palo Alto Networks, une entité gouvernementale européenne a été compromise par les failles critiques de PHP CVE-2026-109618 et CVE-2026-109619, avec accès à des secrets d'authentification en deux heures environ.

Quelles failles PHP sont en jeu ?

CVE-2026-109618 et CVE-2026-109619 sont deux failles critiques qui peuvent mener à une exécution de code à distance dans des configurations PHP par défaut ; le titre de la source évoque un score CVSS de 9,2. Nous avions détaillé les correctifs dans notre article sur les failles PHP du 21 octobre. Une troisième faille, CVE-2026-115560, est signalée par la fondation PHP : elle exige une combinaison inhabituelle de configuration et de code applicatif et sera corrigée dans le cycle normal de publication.

L'exploitation demande un réglage fin. L'attaquant doit calibrer une requête pour qu'une allocation mémoire échoue au bon moment et contourner l'ASLR (la randomisation des adresses mémoire). Un nom de champ de formulaire doit être assez court pour tenir dans le corps accepté, mais assez long pour que sa copie dépasse `memory_limit`. Une reproduction publiée le 22 octobre par ReliaQuest montre une erreur 500, un épuisement mémoire signalé par PHP et un plantage du processus Apache.

Que s'est-il passé chez la victime ?

L'unité 42 décrit une intrusion en une succession rapide : environ deux heures après l'exploitation initiale, l'attaquant détenait des empreintes de mots de passe et des secrets d'authentification multifacteur, puis installait un tunnel de relais NTLM vers l'Active Directory pour tenter de devenir administrateur du domaine.

Plusieurs indices font penser à un agent d'IA aux commandes, selon l'unité 42 : des lots de commandes encadrés par des en-têtes tels que `==SHELLUSER==` et `==PASSWD==`, dont la sortie est facile à analyser pour un modèle, et des requêtes LDAP anonymes via curl pour trouver le compte administrateur. Il s'agit d'une interprétation de l'éditeur, pas d'une preuve.

Qui balaye Internet ?

CYFIRMA attribue, avec une confiance modérée, une campagne de balayage à un opérateur suspecté d'être lié à la Corée du Nord (écosystème Lazarus). Une vingtaine de nœuds compromis, environ 21, sondent à faible débit l'infrastructure PHP mondiale et ont repéré 216 hôtes non corrigés ou partiellement protégés dans plusieurs pays, dont des États-Unis, le Japon et l'Union européenne. Les secteurs visés incluent l'administration, la finance, la logistique, l'aviation et le commerce en ligne. CYFIRMA précise que l'exploitation était l'étape suivante, pas un fait constaté.

Cloudflare a observé des millions de tentatives d'exploitation après la divulgation, et Bitsight estime à environ 37 millions les systèmes exposés sur Internet qui utilisent PHP ou des logiciels dérivés.

Que faire ?

Selon Bitsight, ni règle de pare-feu applicatif ni mise à jour de plugin ne supprime la faille : seule la mise à jour de PHP sur le serveur la ferme. L'éditeur Xint propose un outil de vérification d'exposition, phpguard.io. L'article source ne donne pas les numéros de version corrigés : il faut consulter les bulletins de la fondation PHP.

Source

• The Hacker News, 25 octobre 2026 : PHP2Shell Exploitation Hits Government Entity Amid Global Scanning and Signs of AI-Assisted Hacking