N環球 
Amazon : les attaques PHP2Shell ont commencé quatre jours avant les correctifs, et sont désormais exploitées à grande échelle
La division de renseignement sur les menaces d'Amazon révèle que des tentatives d'exploitation des failles critiques PHP2Shell ont débuté le 17 octobre, quatre jours avant la publication des correctifs — et qu'elles sont désormais largement exploitées.
Pourquoi c’est important
PHP fait fonctionner jusqu'à 80 % des sites web dans le monde, y compris WordPress, Drupal et Joomla. Les deux failles critiques (CVE-2026-109618 et CVE-2026-109619, score CVSS 9.2) permettent une exécution de code à distance sans authentification. Amazon a confirmé que les attaquants n'ont pas attendu la divulgation publique : la première tentative d'exploitation a eu lieu le 17 octobre, quatre jours avant la publication des correctifs le 21 octobre. L'hypothèse selon laquelle la date de divulgation marque le début des attaques ne tient plus — les défenseurs doivent commencer leurs investigations à partir du 17 octobre.
Lire l’article
L'équipe de renseignement sur les menaces d'Amazon a révélé dans un billet de sécurité le 22 octobre que son réseau de pots de miel MadPot avait enregistré la première tentative d'exploitation de PHP2Shell le 17 octobre, alors que les vulnérabilités étaient encore sous embargo (publication le 21 octobre à 14h00 UTC). La tentative provenait d'une adresse IP liée à un réseau commercial d'anonymisation. « Il reste flou comment l'acteur a obtenu des informations sur l'exploitation avant la divulgation », a déclaré CJ Moses, directeur de la sécurité de l'information d'Amazon.
Le 21 octobre même, Amazon a observé plusieurs exploits de preuve de concept, les premiers environ 12 heures avant la sortie du correctif. Les charges utiles et les infrastructures anonymisées variaient, ce qui suggère plusieurs acteurs distincts. Quelques heures après la publication du correctif, de nouveaux exploits ont été dirigés contre les capteurs d'Amazon. L'entreprise décrit désormais PHP2Shell comme « largement exploité dans la nature », et les tentatives vues par Cloudflare se comptent en millions.
Dataminr a indiqué le même jour que l'activité observée se limite pour l'instant à du balayage, de la prise d'empreintes et des exploits non fonctionnels, sans compromission connue — mais des exploits opérationnels ne sont qu'une question de temps.
Contexte
Les failles affectent toutes les versions PHP 7.x et 8.x et ont été découvertes par des chercheurs de Calif, d'OpenAI et de Wiz (Google). Le code fautif dormait dans PHP depuis des années, jusqu'à ce qu'un audit d'août financé par OpenAI utilise un modèle d'IA pour démontrer son exploitabilité — d'où le nom « PHP2Shell ». Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Conseils d'Amazon : la mise à jour de PHP est la seule remédiation complète ; les enquêtes doivent partir du 17 octobre ; les systèmes ne pouvant pas encore être corrigés peuvent envisager de bloquer les téléversements de fichiers multipart après avoir testé les impacts.
💬 Commentaires
Aucun commentaire. Soyez le premier !