Les attaquants ont commencé à cibler les vulnérabilités critiques de PHP2Shell quatre jours avant la publication des correctifs, a révélé Amazon.com Inc., tandis que les tentatives d'exploitation observées par Cloudflare Inc. se sont depuis élevées par millions.
Les responsables de PHP ont publié mercredi des correctifs pour les deux failles, identifiées comme CVE-2026-109618 et CVE-2026-109619, après la fuite de détails avant une publication coordonnée. Les bugs étaient présents dans le code PHP depuis des années jusqu'à ce qu'un audit d'août financé par OpenAI Group PBC utilise un modèle d'intelligence artificielle pour montrer qu'ils pouvaient être exploités dans la pratique.
Le réseau de pots de miel MadPot d'Amazon a enregistré la première tentative le 17 octobre, alors que les vulnérabilités étaient toujours sous embargo. Le trafic provenait d’une adresse IP liée à un réseau d’anonymisation commercial. CJ Moses, responsable de la sécurité des informations chez Amazon Integrated Security, a écrit dans un article de blog qu'il n'est pas clair comment l'attaquant a obtenu les informations d'exploitation avant leur divulgation.
D'autres sondes ont atteint les pots de miel dans les heures précédant la publication de mercredi, et leurs charges utiles et leur infrastructure anonymisée variaient suffisamment pour qu'Amazon soupçonne que plusieurs acteurs étaient impliqués. On ne sait toujours pas si l’une de ces premières tentatives aurait fonctionné sur un système réel. De nouveaux exploits de validation de principe sont apparus quelques heures après le patch et ont été activés presque immédiatement par les capteurs d'Amazon. La société décrit désormais les failles comme étant « largement exploitées dans la nature ».
Amazon souhaite que les enquêtes commencent au plus tard le 17 octobre. Les fenêtres de correction de sept et 30 jours pour les failles critiques sur Internet supposent un délai que les attaquants ne donnent plus, a déclaré la société, arguant que les délais de mise à jour des correctifs devraient être mesurés en heures.
Le trafic d'exploits observé par Cloudflare a augmenté de plusieurs ordres de grandeur une fois la divulgation rendue publique. Le réseau a enregistré « des milliers de tentatives » au cours des 10 heures précédentes, a écrit le directeur général Matthew Prince sur X mercredi soir. Des dizaines de milliers de personnes ont suivi dans les 45 minutes qui ont suivi l'annonce et des centaines de milliers dans les deux heures. Au moment où il a posté, le nombre s'était élevé à des millions.
Aucun de ces trafics n’a encore été lié à une effraction confirmée. La société de sécurité WordPress Defiant Inc. a déclaré aujourd'hui que son pare-feu Wordfence avait bloqué plus de 74 000 tentatives d'exploitation et d'exploration. Sur les plus de 5 millions de sites WordPress qu’elle protège, la société n’a vu aucun compromis confirmé. La société de détection d'événements et de risques en temps réel Dataminr Inc. a décrit l'activité observée comme « limitée à l'analyse, à la prise d'empreintes digitales et à l'utilisation d'exploits non fonctionnels ». Les attaques efficaces ne sont « qu’une question de temps », a-t-il déclaré.
De toute façon, des organisations du monde entier ont mis leurs services hors ligne. Plusieurs agences de cybersécurité, dont la National Security Agency des États-Unis, ont conseillé mercredi de mettre les systèmes hors ligne s'ils ne pouvaient pas être mis à jour immédiatement, et Reuters a rapporté que les services bancaires, ferroviaires et gouvernementaux avaient été fermés par mesure de précaution de Tokyo à Helsinki.
Au Japon, la société de courtage Nomura Holdings Inc., le prêteur Mitsubishi UFJ Financial Group Inc. et East Japan Railway Co. ont suspendu aujourd'hui certains services Internet et l'Agence nationale des impôts a temporairement interrompu son service. La Corée du Sud a relevé son niveau d'alerte en matière de cybersécurité dans le secteur privé, invoquant un risque plus élevé de piratage informatique.
Le fournisseur public finlandais de services informatiques, Valtori, a commencé à lever ses blocages sur les services Web du gouvernement après avoir appliqué des correctifs du jour au lendemain. Le directeur général Hannu Naumanen a déclaré que leur restauration « peut prendre des jours, voire des semaines », car les systèmes nécessitent des tests minutieux.
Le PDG de Microsoft Corp., Satya Nadella, a déclaré aujourd'hui lors d'un événement en Allemagne qu'il n'avait « rien vu de tel depuis très, très longtemps », selon Reuters. Pour le personnel informatique et de sécurité, a-t-il déclaré, ce fut « une longue journée et une longue nuit ».
Michael Centrella, responsable des politiques publiques chez SecurityScorecard Inc. et ancien directeur adjoint des services secrets américains, a déclaré à SiliconANGLE que les agences devraient classer les systèmes exposés en fonction de l'impact de leur mission, y compris la sécurité publique, la santé et les paiements. « Ce qui ressemble à des centaines de vulnérabilités distinctes pourrait représenter un plus petit nombre de points de défaillance communs capables de créer des perturbations en cascade », a-t-il déclaré.
Une longue file de serveurs pourrait ne jamais résoudre le problème. Felix Kuhlenkamp, responsable de la sécurité de l'association allemande de l'industrie numérique Bitkom, a déclaré à Reuters que de nombreux petits opérateurs « gèrent un site Web utilisant PHP mais ne le surveillent pas vraiment de près ». Lorsqu’un site repose sur une ancienne version sans mise à jour de sécurité, a-t-il déclaré, « l’ensemble du système doit être mis à jour ».
« Le décompte des fins de vie devrait arrêter les gens », a déclaré Justin Beals, fondateur et PDG de Strike Graph Inc., à SiliconANGLE. Il a souligné les chiffres de la société de renseignement sur les vulnérabilités VulnCheck Inc. montrant qu'au moins 1 million d'hôtes connectés à Internet sur des versions PHP ne reçoivent plus de mises à jour. « Tout ce qui est en fin de vie doit être inscrit sur un registre des risques avec un propriétaire nommé et une date de retraite », a déclaré Beals.
Les plugins et autres dépendances peuvent lier les applications à des versions spécifiques de PHP, donc la mise à jour de PHP elle-même peut casser quelque chose sur lequel une entreprise s'appuie, selon John Strand, propriétaire de Black Hills Information Security Inc. « 'Il suffit de le patcher' semble génial jusqu'à ce que la mise à jour supprime votre site Web », a déclaré Strand à SiliconANGLE. « Détecter plus rapidement les vulnérabilités ne signifie pas que les organisations peuvent les corriger plus rapidement. Nous avons encore du mal à mettre à jour les systèmes dont nous savons déjà qu'ils sont vulnérables. En tant qu'industrie, nous ne sommes pas prêts à ce que cet écart continue de se creuser. »
