Panique, Hacks, Patchs
Après le séisme PHP2Shell, l’heure est au bilan ; et il n’est pas bien brillant. Nous avons identifié au moins 250 000 domaines en .fr qui annoncent une version de PHP vulnérable. Un problème d’autant plus important que les attaques ne sont plus de la fiction ; elles sont bien réelles jusque dans des serveurs gouvernementaux américains.
Il y a deux semaines, le 21 octobre précisément, PHP dévoilait deux failles critiques et les correctifs pour les boucher. Elles sont sérieuses car elles permettent d’exécuter du code arbitraire à distance. L’exploitation des failles est complexe, mais elles sont imparables sauf à se mettre à jour. Face au danger, des sites (dont Next) ont pris les devants en fermant temporairement, le temps de mettre à jour les composants PHP.
Depuis, une troisième faille CVE-2026-115560 est apparue : « Celle-ci permet une exécution de code arbitraire à distance. L’éditeur estime que les conditions d’exploitation exigent une combinaison d’options de configuration et de code applicatif peu probable. Un correctif sera donc publié à l’occasion du prochain cycle de mises à jour », explique le CERT-FR.
PHP2Shell : des exploitations jusque dans des serveurs gouvernementaux
Une semaine après la déferlante PHP2Shell, l’agence américaine de cybersécurité CISA (Cybersecurity and Infrastructure Security Agency, rattachée au Département de la Sécurité intérieure) ajoute les deux failles PHP à son catalogue KEV (Known Exploited Vulnerabilities), c’est-à-dire aux vulnérabilités dont l’exploitation est connue. C’est une incitation importante pour toutes les agences et organisations (privées ou publiques) de se mettre à jour sans attendre, avec même une obligation pour les agences fédérales civiles FCEB (Federal Civilian Executive Branch).
La semaine dernière aussi, le CERT-FR constatait « des tentatives d’exploitation des vulnérabilités CVE-2026-109618 et CVE-2026-109619 ciblant des déploiements spécifiques de PHP ». Les versions 8.2 à 8.5 sont les seules à avoir des mises à jour, alors que la faille remonterait jusqu’à PHP 5.4 de 2012.
Un exemple concret ? Il y a quelques jours l’Unité 42 de Palo Alto Networks (chargée de la cybersécurité) donnait quelques détails : « les vulnérabilités PHP2Shell sont activement exploitées contre les interfaces de gestion PAN-OS exposées à Internet ». Cela faisait suite à la publication par Dream Research d’une « campagne dans laquelle des attaquants ont enchaîné PHP2Shell avec une autre vulnérabilité d’escalade de privilèges du noyau Linux pour obtenir un accès root ».
Les chercheurs de Dream Research affirment avoir « découvert des artefacts de ce qui semblait être une campagne chinoise assistée par l’IA qui a obtenu un accès root sur 25 serveurs, y compris des systèmes dans un environnement affilié au gouvernement américain ».
Next analyse 4,6 millions de sites en .fr, verdict ?
Qu’en est-il pour les sites en « .fr » ? Nous avons récupéré la dernière version du fichier en open-data de l’AFNIC et nous avons interrogé les 4,6 millions de noms de domaine qui existaient encore en .fr en septembre 2026. Une opération longue, que nous avons lancée sur notre serveur dans la Gavcave. La vitesse est d’environ 10 domaines par seconde, soit 5 jours de traitement. Quels sont les résultats ?
Tout d’abord, sur les 4,6 millions, 1,2 million environ n’ont retourné aucun statut HTTP. Le nom de domaine peut n’avoir aucun site (servir pour des emails par exemple) ou être indisponible au moment du test. Près de 2,6 millions de sites ont répondu, mais sans indiquer de version de PHP. PHP pourrait quand même être installé, le serveur n’envoie simplement pas cette donnée qui n’est donc pas récupérée par notre script.
Cela laisse près de 500 000 serveurs avec une réponse HTTP contenant une version de PHP, de quoi faire une analyse poussée.
