CVE-2026-109618 et CVE-2026-109619 : Vulnérabilités RCE PHP2Shell

Résumé

Deux vulnérabilités critiques d’exécution de code à distance dans PHP, suivies sous les références CVE-2026-109618 et CVE-2026-109619, ont été divulguées en ligne avant leur divulgation officielle. Les failles pourraient permettre aux attaquants d’exécuter des commandes arbitraires sur des serveurs web vulnérables. Les vulnérabilités peuvent affecter plusieurs versions de PHP, potentiellement y compris des branches en fin de vie non prises en charge.

Enquête

Les chercheurs de watchTowr ont confirmé les vulnérabilités et reproduit avec succès CVE-2026-109618. Huntress a également surveillé la divulgation et évalué la probabilité d’exploitation, notant qu’aucune attaque en cours n’avait été observée dans les environnements partenaires au moment du rapport. Cependant, le risque reste important en raison de l’utilisation répandue de PHP. Les chercheurs se sont concentrés sur les indicateurs communs d’exploitation, y compris les processus PHP déclenchant des processus enfants inhabituels.

Atténuation

Les organisations devraient immédiatement inventorier toutes les déploiements de PHP, y compris les instances incluses dans les logiciels de fournisseurs tiers. Les administrateurs devraient être prêts à appliquer les correctifs de sécurité officiels de PHP dès leur publication le 21 octobre. Les systèmes exécutant des versions de PHP en fin de vie qui ne recevront pas de correctifs devraient être isolés d’internet ou protégés derrière un VPN ou un pare-feu d’application web (WAF).

Réponse

Si une activité suspecte est détectée, incluant des processus PHP lançant des shells, des interpréteurs ou des utilitaires de mise en réseau, les administrateurs devraient immédiatement isoler le serveur affecté. La préservation des journaux du serveur web et de PHP est essentielle pour l’enquête judiciaire. Les équipes de sécurité devraient également inspecter la racine web à la recherche de nouvelles webshells créées, de fichiers non autorisés, de tâches cron suspectes, de tâches planifiées, ou de nouveaux comptes utilisateurs ajoutés.

Exécution de Simulation

• Narration de l’attaque & Commandes : L’adversaire a exploité avec succès une vulnérabilité dans une application web exécutant PHP-FPM. Pour établir un point d’appui et commencer la reconnaissance, l’attaquant utilise un script PHP pour exécuter une commande système. L’objectif de l’attaquant est d’identifier le contexte utilisateur actuel pour déterminer le niveau de privilège disponible pour un mouvement latéral ultérieur. L’attaquant exécute whoami par le biais du processus php-fpm, ce qui devrait déclencher la règle de détection Image|se termine par: ‘whoami’ . logique.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation pour déclencher la règle de détection RCE PHP.
  # Ce script simule un processus PHP-FPM déclenchant une commande de reconnaissance.
  
  # 1. Vérifiez si nous pouvons simuler le processus parent.
  # Dans un environnement réel, c'est le démon php-fpm.
  # Pour la simulation, nous utiliserons un sous-shell pour imiter le comportement.
  
  echo "[+] Démarrage de la Simulation : Déclenchement de la détection RCE PHP-FPM..."
  
  # Nous utilisons 'sudo -u www-data' pour imiter l'utilisateur web,
  # et nous encadrons l'exécution pour imiter une relation de processus enfant.
  # Note : Pour correspondre parfaitement à 'ParentImage|se termine par: php-fpm',
  # le test doit être exécuté sur un système où php-fpm est actif.
  
  # Imitation du comportement par une exécution directe si php-fpm n'est pas en cours d'exécution:
  # Dans un vrai labo, vous déclencheriez cela via une requête web à un fichier PHP réel.
  
  # Commande à déclencher : whoami
  # Nous simulons la relation d'arborescence de processus attendue par la règle.
  # Comme nous ne pouvons pas facilement 'devenir' php-fpm sans un service réel,
  # nous exécuterons la commande pour nous assurer que la télémétrie de l'enfant est présente.
  
  # COMMANDE DE TEST RÉELLE (nécessite que php-fpm soit en cours) :
  # déclencheur-simulé-php-fpm-cli
  # Pour les besoins de ce script, nous exécutons le binaire ciblé :
  whoami
  
  echo "[+] Commande de simulation exécutée. Vérifiez le SIEM pour 'whoami' déclenché par PHP."

• Commandes de nettoyage :

  # Aucun fichier persistant n'a été créé par cette simulation.
  # Effacer l'historique du shell pour supprimer les traces de la simulation.
  history -c
  echo "[+] Nettoyage terminé."