Les failles PHP2Shell attirent des millions de tentatives d'attaque, l'IA accélérant les exploits
- La recherche assistée par l’IA a mis en lumière deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, permettant l’exécution de code à distance non authentifiée et la divulgation de mémoire, que PHP a corrigées le 21 octobre.
- Cloudflare a enregistré des millions de tentatives d’attaque et des gouvernements ainsi que des entreprises du monde entier ont retiré leurs services en ligne, bien que la PHP Foundation indique qu’aucune exécution de code réussie n’est connue à ce jour.
- L’IA réduit désormais le temps entre la divulgation et l’exploitation effective, exerçant une pression sur toute personne utilisant PHP pour appliquer les correctifs en quelques heures plutôt qu’en quelques jours.
Le 22 octobre 2026, des millions de pirates informatiques ont tenté d'exploiter deux vulnérabilités majeures de PHP. Les gouvernements et les entreprises ont dû mettre hors ligne certains systèmes en ligne tandis que des équipes d'experts s'affairaient à déployer des correctifs d'urgence. Cela illustre le peu de temps dont disposent désormais les spécialistes de la cybersécurité pour contrer des vulnérabilités graves.
Deux bugs 9.2 qui peuvent donner accès à un serveur
Les vulnérabilités, connues sous le nom de PHP2Shell, sont suivies en tant que CVE-2026-109618 et CVE-2026-109619. Toutes deux présentent une gravité critique avec un score de 9,2 sur 10. Le 21 octobre 2026, PHP a publié quatre correctifs pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Le NCSC britannique indique que ces bugs peuvent corrompre la mémoire interne de PHP. Dans certaines conditions, un attaquant pourrait exécuter du code sans se connecter. Wiz a également montré comment des données sensibles, y compris des mots de passe et des clés API, pouvaient fuir depuis la mémoire.
PHP alimente 69,3 % des sites web disposant d'un langage côté serveur identifiable, selon W3Techs. Cela illustre l'ampleur de l'utilisation de PHP, et non le nombre de sites compromis.
La fenêtre entre le correctif et l'exploitation se referme
Frontier AI a aidé les chercheurs à reconstituer les exploits pour des vulnérabilités enfouies dans PHP depuis des années. Cryptopolitan a rapporté que les correctifs sont arrivés un jour avant l'échéance prévue après la fuite de détails techniques.
Les signes de l'attaque étaient visibles avant que les premiers incidents ne soient signalés. Le 17 octobre 2026, quatre jours avant la divulgation, AWS a identifié la tentative dans les journaux de son honeypot MadPot. On ignore si l'attaque a été couronnée de succès. CJ Moses, responsable de la sécurité chez AWS, a mis en garde contre le fait que des menaces pourraient être créées en quelques heures, voire en quelques minutes, après la divulgation par des attaquants utilisant l'IA.
Des milliers de sondes sont devenus des millions en une journée
Matthew Prince, PDG de Cloudflare, a révélé que des milliers de tentatives avaient été effectuées au cours des 10 heures précédant la divulgation du 21 octobre. Il n'a fallu pas plus de 45 minutes pour que ces tentatives passent à des dizaines de milliers. En seulement deux heures supplémentaires, elles ont dépassé le cap des centaines de milliers. Peu après, des millions de tentatives ont été enregistrées. Il s'agissait de tentatives, et non de violations confirmées.
Cloudflare avait déjà déployé une protection par pare-feu, mais cela ne remplaçait pas le correctif logiciel.
Le 22 octobre, Reuters a rapporté des suspensions préventives de services chez Nomura, Mitsubishi UFJ, ANA, East Japan Railway et Orange. Des sites web gouvernementaux sont également restés temporairement hors ligne en Finlande, aux Pays-Bas et en France.
Trouver toutes les copies de PHP est la partie difficile
PHP peut se cacher dans des équipements que les administrateurs vérifient rarement. L’inventaire du NCSC néerlandais inclut des produits tiers en cours d’examen, parmi lesquels des offres Fortinet. Searchlight Cyber a publié un scanner pour identifier les hôtes vulnérables. Il teste délibérément l’épuisement de la mémoire, ce qui nécessite une utilisation prudente.
La directrice exécutive de la PHP Foundation, Elizabeth Barron, a déclaré à WIRED :
À notre connaissance, aucune tentative réussie d'exécution de code à distance n'a été enregistrée.
Vers où va déjà la dépense en sécurité
Les prévisions de Gartner du 16 septembre estiment les dépenses mondiales en cybersécurité par l’IA à 51,3 milliards de dollars en 2026 et près de 86 milliards de dollars en 2027. Elles prévoient 2 700 milliards de dollars pour les dépenses mondiales en IA en 2026.
PHP2Shell n'est pas responsable de ces dépenses prévues. En réalité, ce cas est une excellente illustration de l'importance pour les entreprises de connaître les logiciels qu'elles utilisent, de corriger rapidement les vulnérabilités et de détecter les menances bien avant que leurs effets néfastes ne se fassent sentir.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Qu'est-ce que PHP2Shell ?
PHP2Shell est le surnom de deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619, chacune notée 9,2 sur 10, qui permettent à un attaquant non authentifié d'exécuter du code sur les serveurs ou de lire la mémoire sensible des processus, tels que les mots de passe et les clés API.
À quelle vitesse les attaques se sont-elles intensifiées après la divulgation ?
Le PDG de Cloudflare, Matthew Prince, a déclaré que le réseau a enregistré des milliers de tentatives d'exploitation dans les 10 heures précédant l'annonce publique, des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures, et des millions par la suite.
Des systèmes ont-ils effectivement été compromis ?
Aucune compromission confirmée n'a été établie. AWS indique avoir détecté une tentative d'exploitation datée du 17 octobre mais ne peut pas confirmer qu'elle ait réussi, et la Fondation PHP déclare ne connaître aucun cas d'exécution à distance de code réussie.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
