REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Les statistiques d’exposition ne racontent pas seules l’histoire d’une vulnérabilité. Wiz présente ses observations après la publication de PHP2Shell : des machines deviennent moins visibles ou moins vulnérables, tandis que plusieurs tentatives capturées ne terminent pas leur chaîne d’exploitation.
Déroulement décrit par la source
- Après la divulgation du 21 octobre 2026, Wiz observe une baisse approximative de 67 % du nombre quotidien de machines distinctes exposées et vulnérables dans sa télémétrie.
- L’étude précise que cette tendance ne permet pas d’isoler la contribution des correctifs, mises à niveau, retraits de machines ou restrictions réseau.
- Deux variantes d’un kit public observées par Wiz échouent à terminer la chaîne d’exploitation dans les tentatives capturées.
- Wiz distingue explicitement des outils utilisant le mécanisme PHP2Shell de ceux qui s’appuient sur une vulnérabilité LFI séparée de l’application.
Comprendre les mécanismes et les enseignements
- Une tentative visible n’équivaut pas à une compromission, et l’échec d’un échantillon ne démontre pas l’impossibilité d’exploiter la faille. La défense doit évaluer sa version, son mode de déploiement et ses traces propres sans extrapoler une conclusion générale.
- Une courbe de télémétrie dépend aussi de son périmètre. Pour suivre une remédiation interne, une liste stable d’actifs avec leurs versions et validations de redémarrage fournit une mesure plus exploitable qu’un pourcentage mondial isolé.
Les vérifications défensives utiles
- Établir un inventaire stable des services PHP exposés et de leurs versions exécutées. Vérifier les correctifs dans les avis officiels, planifier les mises à niveau et contrôler les processus persistants ; conserver un état avant et après pour prouver la réduction effective du périmètre.
- Analyser les requêtes suspectes avec les journaux applicatifs et les créations de fichiers. Distinguer erreurs, épuisement de ressources et exécution démontrée ; préserver les éléments nécessaires à cette qualification avant toute réinstallation ou purge des journaux de l’application.
- Rechercher séparément les défauts applicatifs qui pourraient permettre une inclusion locale de fichier ou un dépôt non autorisé. Tester les restrictions de téléversement et les droits du service web, puis contrôler les accès persistants lors de la remise en service.
Portée et limites
Ces résultats portent sur le corpus et la période de Wiz ; ils ne garantissent pas l’état global d’Internet. La publication mentionne aussi des exploits privés fonctionnels et des expérimentations internes. Les tentatives incomplètes capturées ne permettent donc pas de déclarer les systèmes non corrigés sûrs.
Rapport original
PHP2Shell: Exploitation Attempts and Remediation Trends — www.wiz.io.