Le 24 octobre, l’équipe de SuperTuxKart a annoncé que chaque utilisateur devra définir un nouveau mot de passe lorsque le service en ligne reviendra. Cette mesure intervient après des tentatives PHP2Shell observées par AWS les 17 et 21 octobre. AWS n’a pas pu déterminer si elles auraient abouti sur des systèmes réels.
Les tentatives observées par AWS
AWS a daté du 17 octobre une tentative d’exploitation repérée par MadPot, son réseau de leurres informatiques. Le 21 octobre, Amazon Threat Intelligence a relevé d’autres tentatives entre 02 h et 08 h UTC, avant la fin de l’embargo à 14 h UTC. AWS a indiqué que les charges utiles et les infrastructures d’anonymisation variaient, ce qui suggérait l’intervention de plusieurs acteurs. Son compte rendu détaille ces observations.
Les tentatives enregistrées ne disent pas si un système réel aurait été compromis : AWS a précisé qu’il ne pouvait pas en déterminer l’issue sur des systèmes réels.
Les versions PHP corrigées
PHP2Shell désigne deux vulnérabilités de l’environnement d’exécution PHP : CVE-2026-109618 et CVE-2026-109619. Le projet PHP a publié les versions corrigées le 21 octobre : 8.5.12 pour la branche 8.5, 8.4.27 pour la 8.4, 8.3.36 pour la 8.3 et 8.2.35 pour la 8.2. L’avis de sécurité de PHP précise ces versions.
Le volet de la découverte assistée par IA est abordé dans notre précédent article sur le rôle attribué à GPT-5.6 Sol.
Ce qui attend les comptes SuperTuxKart
Dans son billet du 24 octobre, l’équipe SuperTuxKart indiquait que son service en ligne était hors ligne et qu’elle n’avait aucune indication d’une compromission de son serveur. Elle prévoit que les utilisateurs définissent un nouveau mot de passe au retour du service. L’équipe a également indiqué que la migration des comptes dépendait de l’achèvement d’une réécriture et d’un audit de sécurité. Le billet du projet décrit ces mesures.
