Le 17 octobre 2026, Amazon Threat Intelligence a détecté sur MadPot une tentative d’exploitation de PHP2Shell, quatre jours avant la divulgation publique et la publication des correctifs, le 21 octobre. MadPot est un réseau de honeypots, des leurres informatiques conçus pour attirer les attaques : cette observation concerne ces capteurs. Amazon indique qu’il est impossible de savoir si la tentative aurait réussi sur un système en production.
L’adresse IP à l’origine de l’activité était associée à un réseau commercial d’anonymisation, selon Amazon. La télémétrie ne permet pas d’attribuer la tentative à un acteur précis.
Les journaux à examiner depuis le 17 octobre
Amazon recommande aux administrateurs de rechercher des traces remontant au moins au 17 octobre, plutôt que de limiter l’examen à la date de divulgation. Les signaux cités par l’entreprise sont :
| Signal | Éléments à examiner |
| Requêtes POST | Requêtes contenant PHP_SESSION_UPLOAD_PROGRESS |
| Activité web | Activité suspecte du serveur web |
| Processus | Exécutions inattendues de processus |
| Fichiers | Modifications de fichiers |
Les adresses IP répertoriées par AWS comprennent des infrastructures d’anonymisation partagées. Amazon recommande d’examiner les connexions correspondantes plutôt que de bloquer automatiquement ces adresses.
Les correctifs publiés pour PHP2Shell
PHP2Shell désigne les vulnérabilités CVE-2026-109618 et CVE-2026-109619. La PHP Foundation décrit les deux failles comme susceptibles de permettre, dans certaines conditions, l’exécution de code à distance sans authentification sur un serveur PHP. La première concerne une corruption liée à un manque de mémoire ; la seconde, un état global périmé et une utilisation de mémoire après sa libération.
Le 21 octobre, le projet PHP a publié les versions corrigées PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 et PHP 8.2.35. Notre article sur les versions de PHP qui corrigent les deux vulnérabilités détaille ces mises à jour.
La séquence de divulgation des 20 et 21 octobre
Selon la PHP Foundation, les identifiants CVE ont commencé à circuler vers 15 h UTC le 20 octobre, sans détails techniques. À 19 h 30 UTC, PHP a publié une préannonce et avancé la sortie prévue du 22 au 21 octobre à 14 h UTC. Vers 20 h UTC, Calif a publié par erreur une vidéo montrant une démonstration limitée. La PHP Foundation indique que des conseils d’atténuation envoyés vers 23 h UTC à quelques opérateurs d’infrastructures critiques ont peut-être également fuité.
Le 21 octobre à 7 h 41 UTC, Chainguard a publié des images intégrant le correctif, plus de six heures avant la sortie coordonnée de PHP, fixée à 14 h UTC.
