PHP2Shell expose deux vulnérabilités RCE critiques non corrigées

Contexte et découverte

Le projet PHP2Shell, un outil open‑source permettant d’exécuter des commandes système depuis du code PHP, fait l’objet d’une alerte de sécurité d’urgence. Deux failles d’exécution de code à distance (RCE) ont été signalées, chacune évaluée à CVSS 9.2. L’avertissement indique que les vulnérabilités restent non corrigées au moment de la publication, ce qui justifie le caractère critique de l’incident.

Le communiqué ne précise pas les identifiants CVE, les versions exactes de PHP2Shell affectées, ni les conditions de déclenchement. Cette absence de détails empêche une corrélation précise avec les bases de données de vulnérabilités publiques.

Mécanisme d'exploitation

Bien que les spécificités techniques ne soient pas divulguées, les RCE dans des wrappers PHP reposent généralement sur une désérialisation non sécurisée, une injection de paramètres dans des fonctions d’exécution (exec(), system(), shell_exec()) ou une mauvaise validation des entrées utilisateur. Un score CVSS de 9.2 implique que l’accès à distance est possible sans authentification, que l’impact sur la confidentialité, l’intégrité et la disponibilité est élevé, et que l’exploitation ne nécessite pas de conditions particulières.

Dans le cas de PHP2Shell, le nom même de l’outil suggère qu’il expose une interface permettant de transmettre des chaînes de caractères directement au shell du serveur. Si l’une des deux failles permet de contourner les filtres d’entrée, un attaquant pourrait injecter une commande arbitraire et obtenir un contrôle complet du processus PHP et, par extension, du système d’exploitation sous‑jacent.

Impact potentiel

Un serveur web exécutant PHP2Shell vulnérable devient une porte d’entrée pour un acteur malveillant. Le contrôle du processus PHP autorise l’accès aux fichiers du serveur, la lecture de bases de données, la modification de configurations et la mise en place de persistance (backdoors, cron jobs). La combinaison de deux vulnérabilités distinctes augmente la surface d’attaque : si l’une est corrigée par un contournement, l’autre peut rester exploitable.

Le score CVSS élevé indique également que l’exploitation peut être automatisée, ce qui rend les systèmes non patchés susceptibles d’être ciblés par des campagnes de masse. L’absence de correctif officiel amplifie le risque, car les administrateurs doivent recourir à des mesures temporaires.

Recommandations de mitigation

En l’absence de correctif publié, les équipes de sécurité doivent appliquer les mesures suivantes :

Isolation du service : exécuter PHP2Shell dans un conteneur ou une VM avec des privilèges limités, afin de réduire l’impact d’une compromission.

Filtrage d’entrée : implémenter un WAF capable de bloquer les requêtes contenant des caractères de contrôle ou des chaînes typiques d’injection de commande.

Surveillance et journalisation : activer la journalisation détaillée des appels système depuis le processus PHP, et configurer des alertes sur les patterns d’exécution inhabituels.

Retrait ou remplacement : si l’usage de PHP2Shell n’est pas indispensable, le désinstaller ou le remplacer par une solution qui ne nécessite pas d’exécution directe de commandes shell depuis le code PHP.

Enfin, il est recommandé de suivre les canaux officiels du projet pour être informé dès la publication d’un correctif, et de tester tout correctif dans un environnement de pré‑production avant le déploiement en production.