Les failles PHP2Shell provoquent des fermetures de sites dans le monde, des attaquants ayant tenté des exploits quelques jours plus tôt

Les tentatives ont commencé plusieurs jours avant la divulgation

Amazon Threat Intelligence indique que des attaquants ont tenté d'exploiter la faille le 17 octobre, quatre jours avant que les bugs ne soient rendus publics. La tentative a été détectée par MadPot, un système leurre qu'Amazon utilise pour attirer les acteurs malveillants et les étudier, et elle provenait d'une adresse IP liée à un réseau d'anonymisation commercial. Mercredi 21 octobre, Amazon a également identifié plusieurs exploits de démonstration de concept et d'autres tentatives issues d'autres infrastructures anonymisées, ce qui, selon l'entreprise, indique plus d'un acteur. Cloudflare a de son côté signalé des attaques précoces contre des sites PHP sur sa plateforme, alors qu'aucune exploitation de l'une ou l'autre faille n'avait été signalée dans un premier temps. L'activité malveillante ne s'est pas arrêtée après la publication du correctif.

L'expression « Black October » commence à circuler en ligne, alors que l'on ignore encore si des attaquants ont utilisé les failles contre des cibles.

Les failles et leurs découvreurs

Le projet PHP a publié les deux failles, CVE-2026-109618 et CVE-2026-109619, le 21 octobre et a mis en ligne le jour même une mise à jour de sécurité urgente. ZDNet rapporte que chacune présente un score de gravité critique de 9,2 et qu'elles touchent la plupart des versions de PHP. L'équipe de sécurité de Wiz a découvert les bugs avec l'aide de l'IA, et ANSA rapporte que la vulnérabilité est restée cachée dans les systèmes pendant plus d'une décennie. Wiz indique aussi que PHP équipe 70 % des sites web mondiaux, et décrit l'exposition en termes directs :

Ces vulnérabilités comprennent une divulgation de mémoire et une exécution de code à distance non authentifiée dans PHP lui-même, indépendamment de l'application qui tourne au-dessus.

Les chercheurs indiquent que la construction de la chaîne d'attaque exigeait une séquence d'étapes exceptionnellement complexe, à la limite de ce que des chercheurs humains pouvaient réaliser en pratique, mais que les modèles d'IA de pointe ont nettement abaissé ce seuil.

Des services interrompus dans plusieurs secteurs

Adnkronos rapporte que les failles ont entraîné des fermetures préventives de sites et de services essentiels, notamment bancaires, aériens, ferroviaires et publics, de Tokyo à Helsinki. Au Japon, Mitsubishi UFJ Financial Group et le courtier Nomura ont suspendu leurs pages web et l'accès à leurs services numériques pendant plusieurs heures pour une maintenance urgente, rapporte SAPO. Des ministères, des tribunaux, des réseaux de santé et des portails de sécurité sociale de plusieurs pays européens ont également suspendu temporairement leur trafic public. Aux Pays-Bas, des sites gouvernementaux ont été mis hors ligne par précaution mercredi, et les hôpitaux n'étaient pas joignables via leurs sites. Adnkronos ajoute que le Japon, la France et la Corée du Sud ont adopté des mesures d'urgence, suspendant des services en ligne et relevant leurs niveaux d'alerte en cybersécurité.

Recommandations et ce que peuvent faire les utilisateurs

Les recommandations du CERT-EU, du Centro Nacional de Cibersegurança portugais et de la CISA américaine invitent les organisations qui ne peuvent pas appliquer immédiatement les correctifs à déconnecter d'internet les systèmes concernés, rapporte SAPO. Europa Press ajoute que le CERT-EU a conseillé d'isoler les applications exposées à internet des réseaux publics jusqu'à ce qu'un correctif soit disponible. The Independent rapporte que seuls les opérateurs des sites concernés peuvent corriger directement les failles. Emily Austin, chercheuse principale en sécurité chez Censys, a déclaré que les utilisateurs finaux ne peuvent guère qu'espérer que les services dont ils dépendent n'utilisent pas PHP ou soient en cours de correction, et elle recommande un mot de passe unique pour chaque site. Dan Guido, PDG et cofondateur de Trail of Bits, conseille d'activer les mises à jour automatiques pour ses téléphones, ordinateurs et routeurs domestiques.

Vous ne pouvez pas corriger le site de votre hôpital.

Guido estime que l'essentiel du travail incombe aux entreprises qui exploitent des services, lesquelles doivent déployer les correctifs plus vite et limiter les dégâts que des systèmes compromis peuvent causer.