L'exploitation de PHP2Shell cible une entité gouvernementale européenne tandis que PHP publie une version de sécurité urgente
Failles PHP2Shell (CVE-2026-109618/109619) utilisées pour cibler une entité gouvernementale; version PHP urgente et faille GlobalProtect exploitée. Mesures scol
- The Hacker News rapporte que des attaquants ont exploité les vulnérabilités PHP2Shell (CVE-2026-109618, CVE-2026-109619) et ont ciblé une entité gouvernementale européenne, avec des signes d'activité de post-exploitation assistée par IA.
- L'équipe de sécurité PHP a publié une version d'urgence le 21 octobre 2026 à 14 h 00 UTC corrigeant deux vulnérabilités ; les résumés ne confirment pas que cette version corresponde à ces deux CVE — vérifiez auprès de l'annonce officielle de PHP.
- Help Net Security rapporte aussi qu'une faille du VPN Palo Alto GlobalProtect est exploitée activement ; tout district exploitant du PHP exposé à Internet (Moodle, WordPress, Drupal, portails maison) ou GlobalProtect doit traiter cela comme un cycle de correctifs d'urgence.
À faire maintenant
- Dès ce soir : inventorier chaque exécution PHP (serveurs web, conteneurs, appliances avec PHP intégré), puis appliquer la version du 21 octobre 2026 de l'équipe de sécurité PHP comme changement d'urgence avec plan de retour arrière documenté, et vérifier la version en service après le déploiement.
- Corriger et vérifier chaque passerelle Palo Alto GlobalProtect, imposer le MFA, restreindre l'accès aux utilisateurs et régions nécessaires, et examiner les journaux d'authentification pour des sessions anormales.
- Rechercher des traces de PHP2Shell : motifs de requêtes et paramètres POST inhabituels, webshells dans les répertoires de téléversement ou de cache, processus enfants inattendus et connexions sortantes vers des hôtes inconnus ; isoler immédiatement tout élément suspect.
- Renouveler les identifiants et clés d'API sur tout hôte exposé à Internet et non corrigé, forcer la réinitialisation des mots de passe dont les empreintes auraient pu fuiter, et révoquer les sessions et jetons actifs des comptes privilégiés.
- Réduire la surface d'attaque : désactiver les fonctions PHP inutiles, segmenter les applications exposées, restreindre le trafic sortant et — selon le bulletin 120 de Security Affairs — inventorier les installations Plex, WordPress et Rank Math SEO PRO et auditer les comptes GitHub pour des applications OAuth, jetons d'accès personnels, clés SSH et clés de déploiement non reconnus.