PHP2Shell : les attaques ont commencé avant la publication des correctifs
Amazon a détecté des tentatives d'exploitation dès le 17 octobre, quatre jours avant la mise à disposition des correctifs PHP le 21 octobre.
Des pirates ont commencé à sonder des serveurs vulnérables aux deux failles critiques de PHP, baptisées PHP2Shell, quatre jours avant la publication des correctifs le 21 octobre, selon Amazon. Les premières tentatives provenaient d'un réseau d'anonymisation, alors que les vulnérabilités n'étaient pas encore publiques.
La fondation PHP et ses partenaires industriels ont publié les correctifs le 21 octobre. La veille, les détails des failles ont fuité en ligne et du code d'attaque a rapidement circulé. Selon Amazon, plusieurs acteurs semblent impliqués et PHP2Shell est désormais largement exploité.
Matthew Prince, PDG de Cloudflare, a indiqué que les tentatives d'attaque sont passées de quelques milliers avant la divulgation à des centaines de milliers en deux heures, et désormais à des millions. La société de sécurité WatchTowr précise toutefois que la majorité du code d'attaque en circulation ne fonctionne pas ou ne fait que planter les serveurs visés.
Plus d'un million d'hôtes non corrigés
Censys recensait environ 1,57 million d'hôtes PHP connectés à internet non corrigés au 21 octobre. VulnCheck estime qu'au moins 1 million d'hôtes exécutent des versions de PHP en fin de vie. La CISA a recommandé le jour même une mise à jour immédiate vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Les experts comparent PHP2Shell à Log4Shell, la faille de la bibliothèque Log4j. Lors de cet incident, il avait été difficile de localiser les usages de la bibliothèque vulnérable. L'affaire a été rapportée par SecurityWeek.
En bref
Quelles versions de PHP faut-il installer ?
La CISA recommande de mettre à jour immédiatement vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Quand les correctifs de PHP2Shell ont-ils été publiés ?
La fondation PHP et ses partenaires ont publié les correctifs le 21 octobre.
Combien de serveurs restent vulnérables ?
Censys comptait environ 1,57 million d'hôtes PHP connectés à internet non corrigés au 21 octobre, et VulnCheck estime qu'au moins 1 million d'hôtes utilisent des versions de PHP en fin de vie.