PHP2Shell : 35 exécutions de shell sur des honeypots, correctifs publiés
Un chercheur de Perplexity a observé 35 exécutions de shell sur trois serveurs honeypots le 24 octobre 2026, exploitant la faille PHP2Shell CVE-2026-109618.
Le 24 octobre 2026, 35 exécutions de shell ont été observées sur trois serveurs honeypots exploités par Adel Karimi, chercheur en sécurité chez Perplexity, selon dailysecu.com. Deux adresses IP ont été utilisées : l'une a produit 3 exécutions, l'autre 32.
Les systèmes visés tournaient sous PHP 8.4.26 avec Apache mod_php. L'attaque reposait sur des requêtes HTTP multi-étapes destinées à épuiser la mémoire de PHP, à divulguer des informations sur la mémoire interne, puis à exécuter des commandes. Le déroulement correspondait au code de preuve de concept publié et à la méthode d'exploitation de CVE-2026-109618.
Aucune activité malveillante ultérieure, comme le téléchargement de logiciels malveillants supplémentaires, n'a été observée.
L'équipe de développement de PHP a publié les versions corrigées PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et recommande une mise à jour immédiate.
Contexte : une divulgation le 21 octobre
PHP2Shell désigne collectivement CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités notées 9,2 critiques selon le CVSS v4.0 et divulguées le 21 octobre 2026. Peu après cette divulgation, l'équipe de sécurité de Deutsche Telekom a observé des requêtes similaires au code d'exploit. Amazon Threat Intelligence avait de son côté détecté des tentatives d'attaque dès le 17 octobre 2026, avant la divulgation officielle.
En bref
Quelles versions de PHP corrigent la faille PHP2Shell ?
Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées par l'équipe de développement de PHP, qui recommande une mise à jour immédiate.
Qu'est-ce que PHP2Shell ?
PHP2Shell est le nom collectif de CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités notées 9,2 critiques selon le CVSS v4.0 et divulguées le 21 octobre 2026.
Les attaques ont-elles installé des logiciels malveillants ?
Non. Aucune activité malveillante ultérieure, comme le téléchargement de logiciels malveillants supplémentaires, n'a été observée lors de ces attaques.