Faille PHP2Shell : Palo Alto Networks décrit une intrusion pilotée par IA, qui a atteint les secrets d'authentification d'une administration européenne en deux heures

Le 23 octobre, l’équipe Unit 42 de Palo Alto Networks a complété son analyse des failles PHP2Shell (CVE-2026-109618 et CVE-2026-109619, qui touchent PHP, le langage qui fait tourner une grande partie des sites web) avec le récit d’une intrusion réelle chez une entité gouvernementale européenne. Moins de deux heures après l’exploitation initiale, les attaquants avaient récupéré des empreintes de mots de passe et des secrets d’authentification à deux facteurs, puis monté un tunnel vers l’annuaire Active Directory (le système qui gère les comptes et les droits d’accès d’une organisation) pour tenter d’en prendre le contrôle complet. Unit 42 relève que les commandes étaient envoyées par lots et balisées pour être lues facilement par un modèle d’IA, avec des changements de tactique rapides après chaque échec : pour elle, de « forts indicateurs d’un attaquant agentique », c’est-à-dire un logiciel d’IA qui enchaîne les actions seul, à la manière de l’outil Artex que nous décrivions le 23 octobre dans l’affaire ConnectWise. Au moment de la publication, son outil de cartographie recensait plus de 22,6 millions de serveurs exposés potentiellement vulnérables. Nous signalions le 22 octobre la publication du correctif et la recommandation de l’ANSSI de mettre à jour ou d’isoler ; la nouveauté est la preuve que l’exploitation est réelle et qu’elle va très vite. Ce que cela change pour vous : demandez dès lundi à votre hébergeur ou à votre agence web une confirmation écrite que la version de PHP de votre site et de vos outils internes a été corrigée, et, si votre site partage un serveur ou des identifiants avec votre réseau interne, faites vérifier les journaux de connexion depuis le 20 octobre.