Chronologie des attaques

Le réseau de leurres MadPot d’Amazon a enregistré la première tentative d’exploitation le 17 octobre, alors que les deux failles PHP2Shell étaient encore sous embargo. Les correctifs, identifiés sous les références CVE‑2026‑109618 et CVE‑2026‑109619, ont été publiés quatre jours plus tard, le mercredi suivant. Entre ces deux dates, plusieurs acteurs ont envoyé des charges utiles différentes, ce qui indique la présence de plusieurs groupes d’attaque. Le trafic d’exploitation a ensuite explosé dès la divulgation publique.

Analyse technique des vulnérabilités

Les deux vulnérabilités, présentes dans le cœur de PHP depuis plusieurs années, ont été découvertes lors d’un audit d’août financé par OpenAI Group PBC. Un modèle d’intelligence artificielle a démontré la possibilité d’exécuter du code à distance via des requêtes spécialement formatées. Les CVE concernent respectivement une injection de code dans le gestionnaire de processus et une désérialisation non sécurisée, deux vecteurs classiques permettant à un attaquant d’obtenir un accès système complet si le serveur PHP est exposé à Internet.

Impact observé et réponses des acteurs

Cloudflare a signalé une hausse de plusieurs ordres de grandeur du trafic d’exploitation : des milliers de tentatives en dix heures avant l’annonce, puis des dizaines de milliers en 45 minutes et enfin des centaines de milliers en deux heures, dépassant finalement le million d’événements. Wordfence, le pare‑feu de Defiant, a bloqué plus de 74 000 tentatives sur plus de 5 millions de sites WordPress protégés, sans confirmer de compromission. Dataminr a décrit l’activité comme limitée à du balayage et à l’usage d’exploits non fonctionnels, tout en avertissant que des attaques réussies restent probables.

Enjeux de la remédiation

Les agences de cybersécurité, dont la NSA américaine, ont recommandé la mise hors ligne immédiate des services exposés qui ne pouvaient pas être patchés rapidement. Des organisations publiques et privées – banques, compagnies ferroviaires et administrations fiscales – ont suspendu leurs services en Asie et en Europe. Le délai de remédiation habituel de sept à trente jours apparaît inadapté : Amazon préconise désormais une mesure en heures. Le problème de la mise à jour reste structurel, les opérateurs de petites tailles conservant souvent des versions PHP en fin de vie, estimées à plus d’un million d’hôtes internet‑facing selon VulnCheck.