PHP2Shell a dépassé le stade de la menace théorique. Vingt-cinq serveurs ont subi une prise de contrôle. Trois machines touchaient un réseau lié au gouvernement américain.
Les pirates informatiques ont associé une vulnérabilité PHP à une faille du noyau Linux. Pour une PME ou une ETI, l’incident rappelle qu’un serveur web peut devenir une porte vers des actifs sensibles. Le risque tient à la chaîne d’exploitation, pas seulement au code PHP. Retrouvez notre analyse de PHP2Shell pour situer les mesures à prendre.
Cette vidéo présente les mécanismes des failles PHP2Shell et leurs effets sur les serveurs exposés.
Impact de PHP2Shell sur les serveurs
Selon les éléments rapportés par Dream, des pirates ont pris le contrôle de 25 serveurs répartis dans quatre pays. Trois machines concernaient un réseau sensible, lié au gouvernement américain. Les intrus auraient enchaîné PHP2Shell avec une faille d’élévation de privilèges Linux. Cette combinaison leur a donné des droits élevés sur les systèmes visés.
Pour une entreprise française, le scénario menace bien plus qu’un site public. Un serveur web compromis devient un relais vers les bases de données, les comptes techniques ou les outils internes. Une intrusion sur un hébergement partagé peut aussi toucher plusieurs activités. Le périmètre réel dépend des accès réseau et des secrets stockés sur la machine.
Pourquoi cette vulnérabilité PHP inquiète
PHP a publié des correctifs pour les failles CVE-2026-109618 et CVE-2026-109619. La correction du moteur PHP prime, car ces défauts touchent le cœur du langage. Une mise à jour tardive laisse une fenêtre aux campagnes automatisées. Les équipes doivent vérifier versions, inventaires et journaux système.
La seconde faille Linux change la portée de l’attaque informatique. Une chaîne d’exploitation élargit les dégâts après l’accès initial à l’application. Un pirate peut chercher des identifiants, modifier des services ou préparer un accès durable. Les journaux du serveur et du réseau aident à repérer ces traces.
Cette vidéo explique les gestes de réponse après une compromission de serveur.
Mesures immédiates pour la sécurité des systèmes
Commencez par corriger PHP et le noyau Linux sur les serveurs accessibles depuis Internet. Priorité aux actifs exposés publiquement, puis vérifiez les dépendances et les versions réellement déployées. Isolez tout hôte suspect avant une analyse complète. Conservez les journaux afin de préserver les preuves utiles.
Révoquez les clés et mots de passe présents sur un serveur touché. Une rotation des secrets limite les suites si des identifiants ont quitté le périmètre. Vérifiez les comptes administratifs, tâches planifiées et connexions sortantes. Pour une PME, cet examen réduit le risque de nouvelle infiltration réseau.
La cybersécurité exige ici une décision rapide, mais fondée sur des preuves. Le correctif seul ne suffit pas si un pirate a déjà obtenu des droits élevés. Comparez les versions, cherchez les signes d’accès anormal, puis restaurez depuis une base saine. L’enjeu consiste à fermer l’accès et à mesurer l’étendue des serveurs compromis.
