CYFIRMA signale des attaques en préparation via PHP2Shell
La société singapourienne CYFIRMA évoque des acteurs parlant coréen et un lien possible, avec une confiance modérée, avec le groupe Lazarus.
La société de cybersécurité CYFIRMA, basée à Singapour, a rapporté le 24 octobre 2026 que des acteurs parlant coréen préparaient des cyberattaques exploitant la vulnérabilité PHP PHP2Shell, selon etnews.com. L'entreprise a baptisé cette activité la campagne « June 2026 Minjun » et qualifie de modérée sa confiance dans un lien avec le groupe Lazarus, soutenu par la Corée du Nord.
Selon CYFIRMA, les discussions se déroulaient sur le réseau d'anonymat fermé I2P. Les cibles évoquées comprenaient des agences gouvernementales, des banques et d'autres institutions financières, des entreprises de fabrication, de logistique et de transport maritime, des aéroports et le secteur de l'aviation, des plateformes de trading en ligne, des maisons de négoce et des entreprises de construction.
Les régions citées incluent la Corée du Sud, les États-Unis, le Japon, l'Australie, Taïwan, l'Inde, Singapour, les Émirats arabes unis, l'Arabie saoudite et l'Union européenne. Les acteurs auraient utilisé des modèles d'intelligence artificielle pour hiérarchiser le code d'exploitation de preuve de concept collecté, puis l'auraient validé dans un environnement contrôlé avant de l'employer.
Deux avis officiels en amont
Le contexte est antérieur au rapport de CYFIRMA. Le 21 octobre 2026, l'équipe de développement de PHP a publié une mise à jour de sécurité corrigeant la vulnérabilité. Le 22 octobre 2026, le ministère sud-coréen des Sciences et des TIC et l'agence KISA ont émis une alerte de niveau « prudence » sur cette faille et conseillé aux entreprises des mesures de protection.
En bref
Qu'est-ce que la campagne « June 2026 Minjun » ?
C'est le nom donné par CYFIRMA à l'activité d'acteurs parlant coréen qui préparaient des attaques exploitant la vulnérabilité PHP2Shell, selon etnews.com.
Un lien avec le groupe Lazarus est-il confirmé ?
Non. CYFIRMA qualifie de modérée sa confiance dans un lien avec le groupe Lazarus soutenu par la Corée du Nord.
Quelles cibles étaient évoquées ?
Des agences gouvernementales, des banques, des entreprises de fabrication, de logistique et de construction, des aéroports et des plateformes de trading en ligne, entre autres.