Le CISA confirme l'exploitation active : PHP2Shell, VMware ESX et le noyau Linux s'ajoutent au catalogue KEV

Le CISA confirme l'exploitation de PHP2Shell (CVE-2026-109618/109619) et ajoute VMware ESX, noyau Linux et Adobe Commerce au KEV. Ce qu'il faut corriger.

  • Le CISA a ajouté les deux failles PHP « PHP2Shell » (CVE-2026-109618, CVE-2026-109619, CVSS 9.2, exécution de code à distance sans authentification) à son catalogue des vulnérabilités exploitées, invoquant des preuves d'exploitation active et accordant aux agences fédérales seulement quelques jours pour corriger.
  • Les ajouts de la même semaine comprennent aussi le journalisation insuffisante de VMware ESX (CVE-2026-41709), le noyau Linux CVE-2026-46300, et Adobe Commerce/Magento CVE-2026-48356 jumelé à Google Brotli CVE-2026-111497 — ce dernier étant lié aux attaques « PolyShell » ayant compromis des centaines de boutiques.
  • Impact pour les écoles et le secteur public : le PHP exposé à Internet (ENT/LMS, CMS, portails, appliances) est la priorité, tandis que la lacune de journalisation ESX et la faille du noyau affaiblissent les preuves d'audit et d'intégrité nécessaires en cas d'enquête.

À faire maintenant

  1. Inventoriez dès aujourd'hui chaque environnement PHP — y compris les copies intégrées à Moodle/ENT, WordPress, Drupal, systèmes de bibliothèque, conteneurs et appliances tierces — puis corrigez CVE-2026-109618 et CVE-2026-109619 en priorisant les systèmes exposés à Internet, et redémarrez PHP-FPM et les services web pour que le correctif s'applique réellement.
  2. Retirez les interfaces d'administration VMware ESX et vCenter de l'exposition directe à Internet, limitez-les à des hôtes de rebond avec des comptes à privilège minimal, et acheminez les journaux ESX vers un SIEM inviolable avec alertes sur les événements administratifs manquants (CVE-2026-41709).
  3. Appliquez la mise à jour du noyau Linux pour CVE-2026-46300 sur les serveurs et appliances et planifiez les redémarrages requis ; d'ici là, ne vous fiez pas uniquement à la surveillance d'intégrité des fichiers pour les fichiers en cache de pages.
  4. Recherchez des traces d'exploitation : journaux d'accès et d'erreurs PHP, nouveaux fichiers .php dans les répertoires de téléversement ou de cache, processus enfants inattendus lancés par php-fpm, nouveaux comptes administrateurs locaux, éléments de démarrage modifiés et connexions sortantes inhabituelles. Isolez et préservez les preuves avant toute reconstruction.
  5. Renouvelez les mots de passe, clés d'API et secrets d'intégration sur tout hôte présentant des indicateurs de compromission, validez les sauvegardes et testez les restaurations, et consignez les échéances de correction KEV ainsi que toute exception documentée dans votre registre des vulnérabilités.

Articles liés