Le 25 octobre 2026, l’équipe Unit 42 a retiré le lien qu’elle avait établi entre PHP2Shell et l’accès initial à un incident visant une entité gouvernementale européenne. Elle a déclaré ne pas pouvoir confirmer que CVE-2026-109618 ou CVE-2026-109619 ait servi à cet accès. La fiche mise à jour de Unit 42 expose cette correction.
NeoTeo avait déjà relaté les tentatives signalées par Cisco Talos contre ces deux failles. La correction de Unit 42 porte sur l’accès initial à un autre incident.
Ce que les honeypots ont enregistré
Dans un rapport daté du 24 octobre, Adel Karimi a relié 35 requêtes HTTP POST d’exécution à 35 démarrages de /bin/sh lancés par des processus Apache sur trois honeypots, des serveurs leurres configurés pour observer des tentatives. Les captures réseau et la télémétrie des processus concordaient. La séquence observée est compatible avec CVE-2026-109618, l’une des deux vulnérabilités regroupées sous le nom PHP2Shell.
Les trois leurres utilisaient PHP 8.4.26 avec Apache mod_php, un seul worker et une limite mémoire PHP de 128 Mio. Ce sont les conditions des observations rapportées. PHP-FPM, un autre mode de fonctionnement de PHP, ne faisait pas partie de cette configuration.
Les 35 démarrages de shell ne correspondent donc pas à 35 serveurs de production compromis : ils ont été enregistrés sur trois honeypots. Les deux adresses IP associées aux épisodes d’activité ne permettent pas d’identifier les opérateurs ni d’établir s’il s’agissait d’un seul groupe ou de plusieurs.
Les versions corrigées de PHP
Le 21 octobre, le projet PHP a publié les versions amont corrigées pour CVE-2026-109618 et CVE-2026-109619 : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’annonce du projet PHP détaille ces versions.
