Les attaquants de PHP2Shell tentent de créer un botnet DDoS Potassium, mais échouent pour l'instant
- Les attaquants tentent d'utiliser PHP2Shell pour installer le botnet DDoS Potassium, dérivé de Mirai.
- Les chercheurs ont observé des tentatives d'exploitation généralisées, mais aucun compromis massif n'a été confirmé publiquement à ce jour, le 23 octobre.
- Des exploits en production sont désormais opérationnels, ce qui accroît la pression sur les administrateurs pour qu'ils corrigent les installations PHP vulnérables.
« viable et très sérieux »
— John Hultquist, Google, cité par The Record.
Pourquoi un botnet DDoS inquiète les hébergeurs et les opérateurs crypto
La menace plus large est déjà substantielle. Cloudflare a enregistré 935 attaques DDoS dépassant 1 téraoctet par seconde au cours du premier semestre 2026.
Ces attaques n'ont pas été attribuées à Potassium. Néanmoins, elles illustrent les perturbations subies par les fournisseurs d'hébergement, les processeurs de paiement et les plateformes crypto. Aucune perte financière n'a été liée à PHP2Shell.
Le nouvel avis de sécurité de PHP et les points à surveiller
Le 23 octobre, PHP a divulgué un autre problème, CVE-2026-115560, lié à une configuration d'application inhabituelle. En attendant une correction régulière, il recommande session.upload_progress.enabled=0, qui constitue également une atténuation pour CVE-2026-109619.
Les administrateurs doivent installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrer les workers et surveiller les téléchargements suspects.
Andrew Obadiaru, CISO de Cobalt, a mis en garde en disant que cette période calme est :
« un temps gagné »
— Andrew Obadiaru, Cobalt, cité par The Record.
« des déchets non fonctionnels »
— Spencer McIntyre, VulnCheck, cité par The Record.
Cette protection n'est pas infaillible. VulnCheck a développé un exploit privé contournant ASLR sur PHP 8.4.26 configuré en production, puis a étendu le support à certaines versions 8.4 et 8.5.
John Hultquist de Google a qualifié la menace de :
« viable et très sérieux »
— John Hultquist, Google, cité par The Record.
Pourquoi un botnet DDoS inquiète les hébergeurs et les opérateurs crypto
La menace plus large est déjà substantielle. Cloudflare a enregistré 935 attaques DDoS dépassant 1 téraoctet par seconde au cours du premier semestre 2026.
Ces attaques n'ont pas été attribuées à Potassium. Néanmoins, elles illustrent les perturbations subies par les fournisseurs d'hébergement, les processeurs de paiement et les plateformes crypto. Aucune perte financière n'a été liée à PHP2Shell.
Le nouvel avis de sécurité de PHP et les points à surveiller
Le 23 octobre, PHP a divulgué un autre problème, CVE-2026-115560, lié à une configuration d'application inhabituelle. En attendant une correction régulière, il recommande session.upload_progress.enabled=0, qui constitue également une atténuation pour CVE-2026-109619.
Les administrateurs doivent installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrer les workers et surveiller les téléchargements suspects.
Andrew Obadiaru, CISO de Cobalt, a mis en garde en disant que cette période calme est :
« un temps gagné »
— Andrew Obadiaru, Cobalt, cité par The Record.
Les attaquants tentent de transformer des serveurs PHP vulnérables en bots Potassium, faisant partie d'un réseau dérivé de Mirai conçu pour des attaques par déni de service distribué (DDoS). Mais jusqu'à présent, ils ont rencontré des difficultés. The Hacker News a signalé le 23 octobre qu'aucune compromission de serveur n'avait été confirmée.
Il y a eu deux principales vulnérabilités PHP qui étaient les cibles principales des cyberattaques – CVE-2026-109618 et CVE-2026-109619, toutes deux ayant obtenu un score de 9,2 sur 10 en termes de gravité. PHP a mis les correctifs à disposition le 21 octobre, mais à ce moment-là, les pirates avaient déjà commencé à lancer des attaques contre ces vulnérabilités.
Ce que Sophos a vu, puis a rétracté
Arctic Wolf signale que les tentatives d'exécution de commandes et les téléchargements de logiciels malveillants ont été attribués à Potassium. Une autre évaluation réalisée dans un environnement sandbox a révélé un échantillon différent qui s'est connecté à thunder.godofthunder[.]st via l'IP 134.199.154[.]64 sur le port TCP 50792 et a attaqué deux hôtes ukrainiens.
Cela démontre le potentiel du logiciel malveillant, mais pas celui des attaquants ayant pénétré les serveurs de production. Le 22 octobre, Sophos a retiré une annonce précédente de succès, affirmant auprès de The Record qu'il n'avait observé que des tentatives d'attaque infructueuses.
Des millions de sondages, zéro intrusion confirmée
Cependant, ces chiffres indiquent bien l'étendue des sondages effectués par les attaquants. Imperva a enregistré 482 342 tentatives de requête lors de 122 311 sessions visant 21 998 sites dans 103 pays au cours d'une période de 24 heures.
Dans le même temps, Censys a signalé avoir détecté plus de 41 millions de services PHP exposés sur Internet exécutant des versions vulnérables, et seulement environ 1 million d'instances déployant des versions corrigées du logiciel au 22 octobre. Les chiffres reflétant les incidents de numérisation ou le nombre de personnes exposées sont insuffisants pour prouver qu'un compromis réel s'est produit.
Commandes de 24 flood et un commutateur ENS dormant
Arctic Wolf a révélé que 24 commandes de flood incluent tous les types d'ICMP, TCP, UDP et Open VPN. On observe également la présence de fonctionnalités de recherche du service de noms Ethereum (ENS) dans les versions Potassium ARM et x86-64, mais cela a été désactivé dans les deux cas.
Ethereum et ENS n'ont pas été compromis. Cependant, l'activation des fonctionnalités de recherche ENS peut rendre plus difficile le blocage des serveurs de commande avec tout usage de contrôles DNS et IP conventionnels.
PoCs inutiles contre un exploit privé fonctionnel
De nombreux exploits de preuve de concept (PoC) publics échouent face aux defenses de production, en particulier la randomisation de l'espace d'adressage (ASLR). Spencer McIntyre de VulnCheck a décrit de nombreux échantillons circulant comme :
« des déchets non fonctionnels »
— Spencer McIntyre, VulnCheck, cité par The Record.
Cette protection n'est pas infaillible. VulnCheck a développé un exploit privé contournant ASLR sur PHP 8.4.26 configuré en production, puis a étendu le support à certaines versions 8.4 et 8.5.
John Hultquist de Google a qualifié la menace de :
« viable et très sérieux »
— John Hultquist, Google, cité par The Record.
Pourquoi un botnet DDoS inquiète les hébergeurs et les opérateurs crypto
La menace plus large est déjà substantielle. Cloudflare a enregistré 935 attaques DDoS dépassant 1 téraoctet par seconde au cours du premier semestre 2026.
Ces attaques n'ont pas été attribuées à Potassium. Néanmoins, elles illustrent les perturbations subies par les fournisseurs d'hébergement, les processeurs de paiement et les plateformes crypto. Aucune perte financière n'a été liée à PHP2Shell.
Le nouvel avis de sécurité de PHP et les points à surveiller
Le 23 octobre, PHP a divulgué un autre problème, CVE-2026-115560, lié à une configuration d'application inhabituelle. En attendant une correction régulière, il recommande session.upload_progress.enabled=0, qui constitue également une atténuation pour CVE-2026-109619.
Les administrateurs doivent installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrer les workers et surveiller les téléchargements suspects.
Andrew Obadiaru, CISO de Cobalt, a mis en garde en disant que cette période calme est :
« un temps gagné »
— Andrew Obadiaru, Cobalt, cité par The Record.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qu'est-ce que Potassium ?
Potassium est une variante de botnet dérivée de Mirai, repérée pour la première fois par Synthient en mars 2026, qui, selon Sophos, transporte désormais du code de téléchargement et de perturbation réseau et peut exécuter des attaques DDoS sur des protocoles incluant ICMP, TCP, UDP et OpenVPN.
Un serveur a-t-il réellement été compromis via une PHP2Shell ?
Non. Sophos a retiré une affirmation antérieure concernant une exploitation réussie le 22 octobre, et Google, VulnCheck ainsi que d’autres chercheurs indiquent avoir observé des tentatives, mais aucun cas confirmé d’exécution de code à distance.
Quelles versions de PHP corrigent ces vulnérabilités ?
PHP a publié des correctifs le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Il est vivement recommandé aux administrateurs de patcher en priorité les systèmes exposés à Internet et de vérifier que les processus de leur serveur web utilisent bien l’environnement d’exécution corrigé.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Micah Abiodun
Micah Abiodun met à profit son Master en Ingénierie et Gestion de l'Environnement (MSc) à l'Université de Technologie de Tallinn (TalTech) pour peaufiner ses articles sur les prévisions de prix et l'actualité à Cryptopolitan. Fort de sept années d'expérience dans les médias cryptographiques, il couvre les principales cryptomonnaies, les altcoins, la finance décentralisée (DeFi), les stablecoins, les tendances macroéconomiques et les technologies émergentes.
