AhnLab : le code d'attaque PHP2Shell se répand sur GitHub
Selon l'ASEC d'AhnLab, 99 des 100 dépôts GitHub les plus populaires liés à PHP2Shell hébergent du code d'attaque ou de défense, et 83 % des étoiles vont aux PoC.
L'organisation ASEC d'AhnLab a publié le 24 octobre 2026 une analyse avertissant que le code d'attaque exploitant les vulnérabilités PHP2Shell se propage rapidement sur GitHub et que l'exécution de code non vérifié peut exposer les utilisateurs à d'autres menaces, rapporte le site bloter.net.
PHP2Shell désigne deux failles PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent à un attaquant d'exécuter des commandes malveillantes sur un serveur sans authentification séparée. Sur les 100 dépôts GitHub les plus visibles (hors copies) trouvés en recherchant « PHP2Shell », 99 concernaient cette vulnérabilité.
AhnLab a classé 46 des dépôts analysés comme orientés vers la défense et 36 comme des preuves de concept ou des environnements d'entraînement. Sur les 1394 étoiles comptabilisées, 1158 (83 %) ont été attribuées aux dépôts de PoC, contre 148 pour les dépôts de défense. Parmi les 27 dépôts de PoC analysés, 21 affichaient moins de 10 étoiles.
L'entreprise précise que son analyse s'appuie sur les noms, descriptions et thèmes des dépôts, sans vérification directe du code. Elle recommande de mettre à jour PHP vers les versions corrigées 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, et de vérifier les serveurs déjà exposés à l'extérieur pour détecter des signes de compromission, comme des requêtes anormales ou des fichiers suspects.
Contexte
Le 21 octobre 2026, la société de sécurité étrangère WatchTower avait indiqué avoir observé l'exploitation de la vulnérabilité sur son propre réseau de serveurs de détection d'attaques.
En bref
Qu'est-ce que PHP2Shell ?
C'est le nom collectif de deux vulnérabilités PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent à un attaquant d'exécuter des commandes malveillantes sur un serveur sans authentification séparée.
Quelles versions de PHP corriger la faille ?
AhnLab recommande les versions corrigées 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.
Que faire si un serveur a déjà été exposé à l'extérieur ?
AhnLab conseille de vérifier les signes de compromission, comme des requêtes anormales ou des fichiers suspects.