Vulnérabilité PHP2Shell : exploitation massive avant correctifs - Amazon et le NCSC tirent la sonnette d’alarme

Les vulnérabilités PHP2Shell (CVE-2026-109618 et CVE-2026-109619) ont secoué la communauté cybersécurité en octobre 2026. Selon Amazon Threat Intelligence, les premières tentatives d’exploitation ont été détectées quatre jours avant la publication des correctifs officiels. Alors que PHP équipe près de 80 % des sites web dans le monde, cette fenêtre d’attaque précoce soulève des inquiétudes majeures pour les administrateurs. Que s’est-il passé ? Comment les attaquants ont-ils pu agir si vite ? Et surtout, comment protéger vos serveurs ? Cet article analyse en profondeur la chronologie des événements, les techniques employées et les mesures à prendre.

Qu’est-ce que PHP2Shell ? Deux vulnérabilités critiques

PHP2Shell désigne un ensemble de deux failles de sécurité identifiées par les codes CVE-2026-109618 et CVE-2026-109619. Il s’agit de vulnérabilités de type Remote Code Execution (RCE), c’est-à-dire qu’elles permettent à un attaquant d’exécuter du code arbitraire à distance, sans authentification préalable. En clair, un pirate peut prendre le contrôle complet d’un serveur PHP vulnérable.

L’équipe de sécurité de PHP a publié des correctifs le 21 octobre 2026, après avoir demandé aux administrateurs de se préparer dès la veille. Le développeur principal Gina Peter Banyard a insisté sur le fait que l’application des patches était la seule défense permanente. Le NCSC britannique a également exhorté les organisations à mettre à jour immédiatement leurs serveurs PHP ou, à défaut, à les déconnecter du réseau.

Ces vulnérabilités affectent toutes les versions de PHP antérieures aux patches. Leur criticité maximale (score CVSS proche de 10) en fait l’une des menaces les plus graves pour les infrastructures web actuelles.

Fuite d’informations et publication accélérée

Initialement prévue pour une date ultérieure, la divulgation coordonnée a dû être avancée au 20 octobre après que des détails sur les vulnérabilités - y compris les identifiants CVE et des conseils d’atténuation destinés aux infrastructures critiques - ont fuité en ligne. L’équipe PHP a alors accéléré le calendrier pour éviter que les attaquants ne disposent d’informations exploitables sans contre-mesures.

« Everything went according to plan until two days before the coordinated disclosure, when it had to speed up the targeted release date starting October 20 after some details on the PHP2Shell security flaws leaked online. » - Équipe de sécurité PHP

Bien que des preuves de concept (PoC) aient été publiées avant les correctifs, l’équipe PHP a précisé qu’aucune n’était fonctionnelle. Néanmoins, leur simple existence a pu guider certains attaquants motivés. La fuite soulève des questions sur la sécurisation du processus d’embargo dans la gestion des vulnérabilités critiques.

Exploitation précoce : confirmation d’Amazon

Amazon Threat Intelligence a détecté les premières tentatives d’exploitation dès le samedi 17 octobre, soit 4 jours avant la sortie des correctifs. Ces tentatives provenaient d’adresses IP liées à un réseau d’anonymisation commercial (VPN, Tor). Le fait que les attaquants aient ciblé un honeypot (pot de miel) d’Amazon à partir d’IP anonymisées indique une activité malveillante délibérée, probablement coordonnée par plusieurs acteurs.

Le Chief Information Security Officer d’AWS, CJ Moses, a déclaré :

« The exploit attempt originated from an IP address associated with a commercial anonymization network. While the vulnerability was under embargo, the targeting of a honeypot from an anonymized IP address suggests the activity was conducted by a threat actor, though it remains unclear how the actor acquired exploit information prior to disclosure. »

Moses a ajouté que les charges utiles et les infrastructures d’anonymisation variaient, suggérant l’implication de multiples acteurs. Il a également averti que les vulnérabilités PHP2Shell sont désormais « largement exploitées dans la nature », et qu’il ne faut pas présumer que la date de divulgation publique marque le début de l’exploitation.

État des exploitations et impact mondial

Selon un rapport du Dataminr Threat Research and Cyber Engineering (TRACE) publié le 22 octobre, les activités observées depuis la divulgation se limitent encore à du balayage, du fingerprinting et l’utilisation d’exploits non fonctionnels. Aucune compromission avérée n’a été enregistrée à ce jour. Cependant, l’équipe TRACE prévient que ce n’est qu’une question de temps avant que des PoC fonctionnels apparaissent ou que l’exploitation réussisse.

Ce constat rejoint celui d’autres entreprises de cybersécurité comme Cloudflare, watchTowr, Previdian, Hadrian et Patchstack, qui ont également détecté des tentatives d’exploitation infructueuses avant la divulgation publique. En France, des milliers de sites institutionnels et commerciaux utilisent des CMS basés sur PHP, ce qui les rend potentiellement exposés.

Chiffres clés

• PHP alimente environ 80 % des sites web dans le monde, dont les systèmes les plus populaires : WordPress, Drupal et Joomla.
• Selon VirusTotal, plus de 5,1 millions d’hôtes PHP sont exposés sur Internet, dont 3,8 millions avec au moins un port ouvert exploitable.
• Le NCSC britannique a qualifié la menace de « sérieuse » et a recommandé la mise à jour immédiate ou la mise hors ligne des serveurs non patchés.

Recommandations pour les administrateurs

Face à l’urgence, voici les actions à mettre en œuvre immédiatement.

Mise à jour d’urgence

1. Mettre à jour PHP : appliquer la dernière version corrigée (PHP 8.x ou versions antérieures patchées) dès que possible. Utilisez le gestionnaire de paquets de votre distribution :

   sudo apt update && sudo apt upgrade php   # Debian/Ubuntu
   sudo yum update php                       # RHEL/CentOS
   

2. Isoler les serveurs non patchés : si la mise à jour n’est pas possible immédiatement, déconnectez les serveurs du réseau ou placez-les derrière un WAF capable de détecter les tentatives d’exploitation.
3. Surveiller les logs : recherchez des requêtes suspectes, des patterns d’injection de code, ou des connexions depuis des IP anonymisées (VPN, Tor). Orientez votre équipe SOC sur les indicateurs spécifiques.
4. Appliquer les recommandations des autorités : suivez les conseils du NCSC (Royaume-Uni) et, en France, les alertes de l’ANSSI qui relaient généralement les mêmes mesures de sécurisation.
5. Préparer un plan de réponse : avoir un processus de gestion des correctifs en urgence, incluant des tests de validation rapide dans un environnement de préproduction.

Indices de compromission

Les experts suggèrent de surveiller les indicateurs suivants :

• Requêtes HTTP anormales vers des chemins comme /phpshell.php ou des paramètres contenant des appels système.
• Tentatives d’exécution de commandes via des chaînes de requête (system(), exec(), passthru()).
• Connexions provenant d’adresses IP d’anonymisation commerciale.
• Erreurs de type « allowed memory size exhausted » pouvant indiquer une tentative d’exploitation par saturation.
• Modifications inattendues de fichiers PHP sur le serveur.

Le tableau ci-dessous résume les phases clés de la crise PHP2Shell :

Conclusion : agir sans attendre

La chronologie des événements autour des vulnérabilités PHP2Shell montre à quel point les attaquants peuvent agir rapidement, parfois avant même que les correctifs ne soient disponibles. L’absence de compromissions avérées à ce jour ne doit pas être interprétée comme un répit : les experts s’accordent à dire que des attaques réussies sont imminentes. Les administrateurs doivent considérer que chaque serveur PHP non patché est une cible potentielle. Appliquez les mises à jour, renforcez votre surveillance et restez informés via les canaux officiels (ANSSI, NCSC, équipe PHP). La sécurité de vos infrastructures en dépend.

Sources : Amazon Threat Intelligence, BleepingComputer, Dataminr TRACE, VirusTotal, NCSC.