PHP2Shell : exploité 4 jours avant le correctif (RDS du 17 au 23 octobre 2026)

Publication du patch Oracle trimestriel et exploitation des vulnérabilités CVE-2026-109618et CVE-2026-109619 dans PHP, les experts du service de veille cyber Yuno vous livrent une synthèse des évènements clés pour vous permettre de rester informés et d’anticiper les risques.

‍

Ce résumé vous est partagé par le CERT-XMCO dans le cadre de son service de Veille en Vulnérabilités, Yuno. Demandez une démonstration.

‍

Correctifs

Cette semaine, le CERT-XMCO recommande en priorité l’application des correctifs publiés par Oracle dans le cadre de son patch trimestriel (CPU) [1], par PHP pour php-src [2], par Arista pour VeloCloud Orchestrator On-Prem [3], par Fortinet [4], par Gitlab pour Community Edition (CE) et Enterprise Edition (EE)[5], par Cisco [6] [7] [8], par NodeJS [9], par Apache pour Tomcat [10], parMicrosoft pour Edge [11] et pour Edge for Android [12], par MariaDB pourConnector/C et Server [13], par Mozilla pour Thunderbird [14] et pour FirefoxESR [15], par RoundCube pour Webmail [16].

Ces correctifs remédient à des dommages allant du déni de service à la prise de contrôle du système.

‍

Code d’exploitation

‍

Cette semaine, aucun code d'exploitation n'aété publié.

‍

INFORMATIONS

‍

Vulnérabilités

HP2Shell : Exploitation des vulnérabilités critiquesCVE-2026-109618 et CVE-2026-109619 quatre jours avant la publication des correctifs [17]

Le 21 octobre 2026, les chercheurs d’Amazon Threat Intelligence ont signalé l’exploitation malveillante de PHP2Shell, une chaîne de deux vulnérabilités critiques affectant le moteur d’exécution PHP et permettant l’exécution de code à distance sur les serveurs vulnérables.Référencées CVE-2026-109618 et CVE-2026-109619, ces vulnérabilités résultaient respectivement d'une initialisation incorrecte (CWE-665) et d’une utilisation de mémoire après libération (CWE-416). Exploitables à distance sans authentification, elles permettaient à un attaquant d’exécuter du code avec les privilèges du processus web. Le 21 octobre, l’équipe PHP a publié des correctifs d’urgence, soit quatre jours après la première tentative d’exploitation détectée le 17octobre. Horizon3.ai souligne que l’exploitabilité de PHP2Shell dépend notamment de la configuration du serveur, de l’intégration du moteur PHP et du traitement des requêtes. L’exposition peut également concerner des logiciels tiers et des conteneurs intégrant des versions vulnérables, au-delà des seules applications PHP recensées. En cas d’exploitation réussie, l’impact dépend des privilèges du processus web et de son accès aux données, identifiants et services internes.

Des groupes de ransomware exploitent activement la faille de sécurité CVE-2026-0257 au sein de PAN-OS et Prisma Access [18]

Le 19 octobre 2026, les chercheurs de Palo Alto Networksont révélé l’exploitation active d’une vulnérabilité affectant PAN-OS et Prisma Access par les opérateurs des groupes de ransomware Qilin, INC Ransom et Settra. Référencée CVE-2026-0257, avec un score de criticité CVSS 4.0 de 7,8, cette faille désormais corrigée résultait d’un défaut de contrôle d’intégrité des cookies (CWE-565). Un attaquant distant et non authentifié pouvait exploiter cette faiblesse pour contourner certaines restrictions de sécurité et établir une connexion VPN non autorisée, exposant ainsi les infrastructures concernées à un risque d’accès initial. Pour rappel, la faille de sécurité CVE-2026-0257avait été ajoutée au catalogue KEV de la CISA et disposait d'un code d'exploitation (PoC) publiquement disponible dès le 29 mai 2026.

‍

Europe

Le groupe APT russe APT28 cible les entreprises de défense de deux pays de l'OTAN [19]

Le 20 octobre 2026, Symantec a mis au jour une campagne d'espionnage opérée au cours de l’été 2026 par le groupe APT russe Swallowtail (également connu sous les noms APT28, Fancy Bear ouForest Blizzard), qui a compromis des organisations situées dans deux pays membres de l’OTAN — une agence de police, un constructeur naval et un fabricant de moteurs d’avion militaires — via un document Word piégé. Dans le cas où les indicateurs de compromission (IoCs) associés à Hookedge sont identifiés au sein de son système d'information, Symantec recommande d'éliminer les binaires suspects et de réinitialiser tous les secrets stockés (clés SSH, mots de passe, jetons API) sur les postes compromis. Il est recommandé de vérifier l’intégrité des fichiers au moyen des hashs publiés, de désactiver les macros Office non nécessaires et d’instaurer une surveillance renforcée des connexions SSH et des flux HTTP sortants.

Distribution de mises à jour du CLI d'OVH contenant unbinaire malveillant [20]

Le 19 octobre 2026, OVHcloud a informé que cinq versions de son outil CLI avaient été compromises. L’incident a été détecté à 14 h 47 UTC et bloqué à 16 h 21 UTC. La compromission provient d’une intrusion sur le compte GitHub d’un développeur et touche les releases v0.11.0‑v0.15.0, tandis que les versions v0.10.0 et0.16.0 restent saines. L’attaquant a remplacé les archives binaires de cinq releases (macOS, Linux x86_64/arm64, Windows x86_64) par un binaireGo conçu pour récupérer les secrets stockés sur le disque, sans aucune vérification de hachage. Les fichiers ont été disponibles seulement94 minutes, de 12 h 47 à 14 h 21 UTC, et ont touché les versions publiées entre avril et septembre. Cette technique desupply‑chain a été rendue possible par l’absence d’immutabilité des releases sur le dépôt GitHub, ce qui a permis à l’acteur malveillant de modifier les artefacts directement.

‍

Chaine d'approvisionnement

Compromission de huit clés d’autorités de certificationeMudhra : des risques d’usurpation d’identité et d’interception descommunications TLS [21]

Le 20 octobre 2026, la compromission des clés privées de huit certificats d’autorités de certification intermédiaires de eMudhra, fournisseur indien de services de confiance numérique, a été révélée par un chercheur en sécurité. Cet incident, affectant la chaîne de confiance des certificats TLS et de signature de code, a conduit les principaux éditeurs de navigateurs et de logiciels à prendre des mesures d’urgence. L’origine de l’incident réside dans une faiblesse majeure du mécanisme de génération des clés cryptographiques, dont l’entropie insuffisante a permis de retrouver les clés privées et de compromettre les certificats associés. Un attaquant disposant de ces clés pouvait émettre des certificats frauduleux afin d’usurper l’identité de sites web légitimes, ouvrant la voie à des attaques de typeMan-in-the-Middle et à l’interception ou à l’altération des communications.

‍

——————————————————————————————————-

‍