PHP2Shell : des exploits privés atteignent root, une attaque « IA » retirée

L'argument « en production, c'est trop dur à exploiter » ne tient plus : deux équipes indépendantes ont franchi l'ASLR sur des réglages standard. Il suffit qu'un exploit comparable fuite ou soit recréé pour que la vague de balayage devienne une vague de compromissions. Attention toutefois : à ce jour, aucune compromission due à PHP2Shell n'est publiquement confirmée, et la rétractation de Unit 42 rappelle qu'un serveur PHP piraté ne l'a pas forcément été par cette faille. À faire : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 partout, désactivation de la progression d'upload, puis recherche de traces depuis le 17 octobre, date des premières tentatives selon Amazon.

C'est l'illustration d'un angle mort classique : un correctif « installé » qui n'est pas « activé ». Les bootkits sont redoutés parce qu'ils survivent à une réinstallation et s'exécutent avant l'antivirus. À relativiser : la campagne est ciblée, ancienne de plusieurs mois et vise une région précise. Pour une entreprise européenne, le risque est surtout de croire Secure Boot efficace sans l'avoir vérifié. À faire : appliquez les révocations manuelles de Microsoft pour Baton Drop sur vos postes sensibles, en commençant par un groupe de test, car une mauvaise manipulation peut empêcher le démarrage.

Le récit est un cas d'école de la chaîne d'approvisionnement de l'IA : un agent interne détenait un jeton humain trop puissant, et une clé exposée n'a pas été tournée. LiteLLM le reconnaît : l'incident illustre « les risques de ne pas faire tourner une clé potentiellement exposée ». Attention toutefois : c'est le récit de la victime elle-même, et les leçons qu'elle promet ne seront publiées que cette semaine. À faire : donnez à vos agents des comptes de service aux droits minimaux, jamais un jeton de propriétaire, et révoquez immédiatement tout secret publié, même effacé.

Après Arista, Cisco et Citrix ces dernières semaines, c'est un nouvel équipement de cœur de réseau à corriger en urgence. Les contrôleurs Wi-Fi voient passer tout le trafic sans fil d'un site et sont rarement surveillés comme des serveurs. Prudence : sans exploitation connue, l'urgence est moindre que pour PHP2Shell, mais la note maximale et l'absence d'authentification en font une cible probable. À faire : inventoriez vos versions AOS, planifiez la mise à jour cette semaine, et vérifiez que l'administration n'est pas joignable depuis le réseau utilisateurs.

Après l'Allemagne et les États-Unis (voir notre édition de vendredi), le secteur financier ibérique s'organise. C'est logique : banques et paiements gèrent des données qui doivent rester secrètes des années, exposées à la menace « récolter maintenant, déchiffrer plus tard ». À relativiser : un protocole d'accord sans échéance reste une déclaration d'intention, et l'étude NowSecure vient d'un éditeur qui vend des tests d'applications. Pour une entreprise, la première étape reste l'inventaire : savoir où la cryptographie classique se cache dans vos applications, VPN et sauvegardes.

Un fichier d'adhérents politiques est une donnée sensible au sens du RGPD : il révèle une opinion. Il ouvre la voie à des hameçonnages très ciblés, et à des pressions sur des personnes identifiées. Prudence : seule la fuite du PCF est confirmée par la victime, les autres relèvent pour l'instant de la revendication. Si vous êtes adhérent ou sympathisant d'un parti, méfiez-vous des messages qui invoquent votre engagement pour demander un paiement ou des identifiants.