Amazon Threat Intelligence a identifié une tentative d'exploitation de PHP2Shell datée du 17 octobre 2026 dans la télémétrie du honeypot Mad Pot, quatre jours avant la divulgation publique de CVE-2026-109618 et CVE-2026-109619. La tentative provenait d'une adresse IP liée à un réseau d'anonymisation commercial. Bien que la vulnérabilité fût sous embargo, le ciblage d'un honeypot suggère qu'un acteur malveillant était actif, et l'on ignore encore comment cet acteur a obtenu des informations sur l'exploit avant la divulgation.
L'embargo sur PHP devait être levé le 21 octobre 2026 à 14 h 00 UTC. Amazon Threat Intelligence a observé plusieurs preuves de concept d'exploits le jour de la publication, la première vers 02 h 00 UTC. Entre 02 h 00 et 08 h 00 UTC, des tentatives d'exploitation supplémentaires visant Mad Pot sont venues d'autres infrastructures anonymisées. La diversité des charges utiles laisse penser à plusieurs acteurs, et l'analyse technique se poursuit pour déterminer si l'une de ces tentatives aurait réussi contre de véritables systèmes.
Dans les heures suivant la publication du correctif, d'autres preuves de concept d'exploits sont apparues et ont été utilisées contre les capteurs d'Amazon presque immédiatement. PHP2Shell est désormais largement exploitée dans la nature. Amazon en tire deux enseignements : un embargo ne protège les défenseurs que jusqu'à ce qu'un tiers découvre la même faille, et la date de divulgation publique peut ne pas correspondre à la première date d'exploitation. Comme l'analyse assistée par l'IA rend la transformation des correctifs en exploits fonctionnels moins coûteuse, l'écart entre le correctif et l'attaque se réduit.
Les équipes de sécurité devraient mesurer les délais d'application des correctifs pour les vulnérabilités critiques exposées à Internet en heures plutôt qu'en jours, commencer les investigations à partir de la plus ancienne exploitation connue et déployer des détections qui ne dépendent pas de signatures propres à un CVE. La mise à niveau vers des versions corrigées de PHP est la seule remédiation complète. Lorsque l'application immédiate d'un correctif est impossible, les équipes peuvent envisager de bloquer les envois de fichiers en plusieurs parties après évaluation de l'impact sur l'application, et examiner les journaux à la recherche de requêtes POST contenant la chaîne PHP_SESSION_UPLOAD_PROGRESS.
Source: Hacker News · Résumé par HeadlinesBriefing