Failles PHP2Shell : une première attaque réussie en conditions réelles

Les failles critiques PHP2Shell, qui touchent le langage PHP, ont été exploitées avec succès lors d'une attaque en conditions réelles. Selon le chercheur Adel Karimi, un pirate a pris le contrôle d'un serveur-leurre, alors que l'activité observée jusque-là se limitait à des tentatives ratées et à de la reconnaissance. Les correctifs sont disponibles depuis le 21 octobre 2026.

Adel Karimi, responsable détection et réponse chez Perplexity, avait installé un « pot de miel » (honeypot) : un serveur volontairement vulnérable, destiné à attirer les pirates pour observer leurs méthodes. Cette information a été rapportée par 01net, qui s'appuie notamment sur The Hacker News.

Une exécution de code à distance confirmée

D'après le chercheur, l'incident dépasse le simple plantage. Il parle d'une « exécution de code à distance confirmée, avec une fuite de mémoire exploitable ». Le pirate a extrait 800 kilo-octets de données internes du serveur, puis en a pris la main, le tout en une fraction de seconde.

Marcus Hutchins, chercheur chez Expel, confirme ces conclusions. Pour lui, il s'agit de la première preuve d'une exploitation réussie de PHP2Shell dans une offensive réelle.

Des tentatives massives avant ce premier succès

Les failles ont pourtant suscité beaucoup d'activité dès leur divulgation. Cloudflare a détecté des millions de tentatives d'exploitation. Amazon a repéré des pirates qui utilisaient PHP2Shell quatre jours avant la publication des correctifs. L'équipe TRACE de Dataminr estimait que l'activité se « limitait à du balayage, de la prise d'empreinte et des codes d'attaque non fonctionnels, sans compromission connue ».

Un autre cas est venu s'ajouter. Un développeur a créé le site StealMyBitcoin.com et y a placé plus de 2 000 dollars en bitcoins, à la disposition de quiconque parviendrait à pirater son serveur PHP volontairement non corrigé. Environ 20 heures après le lancement du défi, un participant a exploité les failles et récupéré les cryptomonnaies.

Une campagne attribuée à la Corée du Nord

Les chercheurs de Cyfirma ont par ailleurs repéré une vaste campagne en provenance de Corée du Nord. Selon eux, le groupe Lazarus, présenté comme mandaté par Séoul, cherche activement à tirer parti des failles. Depuis 21 serveurs compromis, il sonde 216 cibles vulnérables aux États-Unis, au Japon, en Corée du Sud et dans l'Union européenne : surtout des administrations, des banques et des aéroports.

Kumar Ritesh, PDG de Cyfirma, décrit un balayage « délibérément discret et espacé ». Les serveurs sont « changés et abandonnés au premier signe de blocage ». Cyfirma prévient que « l'exploitation est l'étape suivante ».

Ce qu'il faut retenir pour les administrateurs

PHP équipe environ 70 % des sites web. Les correctifs existent, mais une troisième faille, pas encore colmatée, a déjà été signalée par les développeurs de la fondation PHP. La mise à jour des serveurs reste donc la mesure à appliquer sans attendre. Les mises à jour de sécurité sont un sujet récurrent : Apple vient de publier iOS 27.2, qui corrige 160 failles.

Foire aux questions