De nouvelles informations issues de la veille de sécurité d’Amazon Web Services montrent que PHP2Shell a été ciblé avant la publication, le 21 octobre 2026, des correctifs concernant deux vulnérabilités critiques de PHP. AWS a retrouvé la première tentative connue dans les journaux d’un honeypot, le 17 octobre. L’adresse IP source était liée à un réseau commercial d’anonymisation, comme un proxy ou un VPN.

CJ Moses, directeur de la sécurité de l’information chez AWS, estime que le calendrier et l’origine masquée indiquent l’intervention probable d’un acteur malveillant. L’origine des informations d’exploitation détenues avant la divulgation reste inconnue. Dans les heures précédant l’annonce du 21 octobre à 10 heures ET, AWS a enregistré d’autres tentatives. Elles provenaient de plusieurs fournisseurs d’anonymisation et semblaient répondre à des objectifs différents, ce qui laisse penser que plusieurs acteurs étaient impliqués. Des exploits de preuve de concept ont commencé à circuler le même jour, parfois plusieurs heures avant l’annonce.

AWS n’a pas pu déterminer si les tentatives observées auraient réussi contre des systèmes réels. L’entreprise affirme que PHP2Shell fait désormais l’objet d’une exploitation généralisée sur Internet. Les administrateurs et les équipes de sécurité se sont précipités pour appliquer les correctifs. Des gouvernements et d’autres organisations ont mis hors ligne des sites importants par précaution, avant de pouvoir les corriger. La PHP Foundation n’avait pas répondu immédiatement aux sollicitations de WIRED.

Pour CJ Moses, cet épisode montre que la divulgation coordonnée des vulnérabilités doit s’accélérer. AWS estime que l’analyse assistée par l’IA réduit le coût nécessaire pour transformer un diff de correctif ou un avis de sécurité en exploit fonctionnel. Le délai entre la divulgation et l’exploitation peut ainsi passer de plusieurs jours à quelques heures ou minutes. Auparavant, les attaques suivaient plus souvent la publication d’une preuve de concept et dépendaient d’un petit nombre d’acteurs très compétents.