Exploitation de PHP2Shell contre un gouvernement européen : CISA exige une correction immédiate de PHP

CISA KEV : CVE PHP 2026-109618/109619 exploitées ; PHP2Shell touche un gouvernement. Corrigez PHP exposé et révoquez les sessions.

  • La CISA a ajouté les CVE-2026-109618 et CVE-2026-109619 à son catalogue des vulnérabilités exploitées ; les deux permettent une exécution de code à distance non authentifiée dans PHP.
  • L’exploitation PHP2Shell signalée contre une entité gouvernementale européenne inclut du post-exploitation assisté par IA agentique, ce qui rend les services PHP exposés à Internet prioritaires.
  • Aussi cette semaine : des attaques par rejeu de jetons Microsoft 365 ont compromis 97 comptes dans 79 organisations, et Fortinet a publié des correctifs FortiOS critiques sans détails CVE avant le 10 novembre 2026.

À faire maintenant

  1. Inventorier chaque runtime PHP, framework, application interne et portail tiers hébergé ; consigner la version, le propriétaire et l’exposition à Internet.
  2. Appliquer maintenant la version de sécurité PHP corrigeant CVE-2026-109618 et CVE-2026-109619, en commençant par les services exposés à Internet et ceux qui gèrent des sessions authentifiées ; si la correction est impossible, ajouter des règles WAF ou du virtual patching et restreindre l’accès aux réseaux de confiance.
  3. Révoquer les sessions actives et faire tourner les clés de signature de session, secrets applicatifs et identifiants de service sur tout système PHP ayant pu traiter des requêtes non fiables ; exiger une réauthentification des comptes privilégiés.
  4. Rechercher dans les journaux web et système des tentatives d’exploitation PHP2Shell, des plantages par manque de mémoire, des processus enfants inattendus, des webshells et des usages anormaux de jetons de session ; isoler et réinstaller les hôtes compromis.
  5. Pour Microsoft 365, révoquer les jetons de rafraîchissement et imposer une MFA résistante au phishing ainsi que des accès conditionnels ; pour les équipements Fortinet de bordure, appliquer les derniers correctifs de durcissement et restreindre les interfaces d’administration aux réseaux de confiance.

Articles liés