Exploitation PHP2Shell : une campagne nord-coréenne scanne le web mondial depuis des mois

Des acteurs malveillants exploitent activement deux failles critiques du langage PHP, baptisées PHP2Shell, pour compromettre des serveurs web à travers le monde. Les vulnérabilités, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, permettent l’exécution de code à distance sans authentification préalable. Palo Alto Networks Unit 42 a observé une utilisation sophistiquée de ces failles, incluant des marqueurs comportementaux suggérant l’emploi d’agents d’intelligence artificielle pour piloter la phase de post-exploitation.

Selon Unit 42, un groupe d’attaquants a ciblé une agence gouvernementale en Europe. Dans les deux heures suivant l’exploitation initiale, les assaillants avaient mis la main sur des empreintes de mots de passe et des secrets d’authentification multifactor. Ils ont ensuite établi un tunnel de relais NTLM vers Active Directory et tenté une élévation de privilèges vers le compte administrateur de domaine.

Les commandes exécutées sur le système compromis présentent une structure particulière. Chaque lot est enveloppé dans des délimiteurs de type ==SHELLUSER== et ==PASSWD==, produisant une sortie lisible par un modèle d’IA. Les chercheurs notent trois axes de reconnaissance : l’interrogation de la base d’authentification pour extraire hachés et secrets 2FA, l’exploration d’Active Directory via des requêtes LDAP anonymes vers le contrôleur de domaine, et l’inventaire de l’hôte pour identifier l’intégration DNS/AD, les machines internes, les groupes privilégiés et les utilisateurs interactifs.

Palo Alto Networks a rétracté son évaluation initiale liant formellement l’intrusion aux CVE PHP2Shell. L’entreprise précise que l’attaque s’est déroulée dans le contexte d’une application PHP vulnérable, sans pouvoir confirmer que l’accès initial provient spécifiquement de ces failles.

En parallèle, la société CYFIRMA rapporte avoir découvert une campagne de balayage à grande échelle, liée à la Corée du Nord, qui exploite PHP2Shell depuis au moins 21 nœuds compromis. Le balayage se caractérise par un volume délibérément faible et un rythme lent. Les nœuds sont rotatifs et abandonnés dès le premier signe de blocage ou de limitation de débit, rendant la détection par seuils inefficace.

La liste des cibles comprend 216 hôtes non corrigés ou partiellement atténués, répartis aux États-Unis, au Japon, en Corée du Sud, en Thaïlande, en Indonésie, en Australie, à Taïwan, en Inde, à Singapour, aux Émirats arabes unis, en Arabie saoudite et dans l’Union européenne. Les secteurs visés couvrent les administrations, les institutions financières, la logistique, les aéroports et l’aviation, l’industrie manufacturière et les plateformes de transaction en ligne.

L’impact opérationnel est déjà visible. Le Monde rapporte que de nombreux sites à travers le monde sont en maintenance forcée suite à la découverte de ces failles. Au Royaume-Uni, des services gouvernementaux ont été mis hors ligne. La fondation PHP a depuis publié un correctif pour une troisième vulnérabilité, CVE-2026-115560, découverte dans la foulée.

Les correctifs pour CVE-2026-109618 et CVE-2026-109619 sont disponibles depuis la version PHP 8.4.12. Les administrateurs sont vivement invités à appliquer les mises à jour sans délai et à auditer les journaux d’accès pour détecter toute trace d’exploitation passée.

Sources : The Hacker News, Le Monde, Numerama Cyberguerre