Repartage — contenu de Vincent Strubel
PHP2Shell : attention aux répliques
La publication quelque peu chaotique de vulnérabilités critiques dans PHP la semaine dernière a donné lieu à une mobilisation remarquable, à l'échelle mondiale, pour appliquer en urgence les correctifs sur un nombre incroyable de sites web. Nous pouvons nous en réjouir.
Mais nous ne devons pas penser trop vite que le problème est résolu : le risque se déplace des sites web vers la myriade de produits tiers qui intègrent des versions de PHP (au hasard dans une interface d'administration web) : routeurs, pare-feu, automates industriels, objets connectés au sens large… Eux aussi doivent être mis à jour.
Une ressource utile pour éviter de se noyer dans la complexité du sujet : l'initiative de nos homologues 
du Nationaal Cyber Security Centrum (NCSC-NL), qui consolident dans un dépôt github les informations disponibles sur les mises à jour des produits intégrant PHP.
Cela nous permet de mutualiser nos efforts au moins à l'échelle européenne, et d'éviter la duplication du travail ou des informations. Bravo et merci à eux ! L'ANSSI référence désormais ce dépôt dans sa propre alerte, et injecte ses propres informations dans le répertoire commun.
Dépôt Github : https://lnkd.in/eXTxysrt
Sources LinkedIn
- Profil : Pierre Jean Duvivier dit Sage (LinkedIn)
- Auteur du partage : Vincent Strubel (LinkedIn)
L'article ⚠️ PHP2Shell : attention aux répliques est apparu en premier sur les plumes qui mordent.
Questions fréquemment posées
FAQ PHP2Shell Attention aux répliques
Q Qu'est-ce que PHP2Shell
R C'est un nom pour un type d'attaque où une faille dans le code PHP permet à un attaquant d'exécuter ses propres commandes sur votre serveur, souvent juste après qu'une vulnérabilité associée a été corrigée. Les répliques sont des attaques de suivi qui frappent avant ou après que la première est corrigée.
Q Que signifie répliques ici
R C'est une métaphore empruntée aux tremblements de terre. Après un exploit, les attaquants continuent de sonder les trous restants, les fichiers oubliés ou les correctifs faibles. Ces coups de suivi sont les répliques — et elles peuvent être tout aussi dommageables.
Q PHP2Shell est-il un CVE spécifique ou un vrai produit
R Non. C'est une étiquette descriptive, pas un identifiant de vulnérabilité unique ni un outil. Considérez-le comme un schéma d'alerte : une faille PHP qui mène à l'exécution d'un shell, plus les attaques de suivi.
Q Comment un attaquant passe-t-il de PHP à un shell
R Généralement par une gestion non sécurisée des entrées — par exemple en passant des entrées utilisateur à system, exec, shell_exec, popen ou aux backticks — ou par des téléversements de fichiers, des include/require avec des chemins contrôlés par l'utilisateur, ou des bugs de désérialisation. Une fois le code exécuté, ils peuvent lancer un shell.
Q Pourquoi devrais-je m'en soucier si j'ai déjà corrigé le bug principal
R Parce que les répliques ciblent ce que vous avez manqué : copies non corrigées, fichiers de sauvegarde, points de terminaison de débogage, code en cache ou autres services partageant les mêmes identifiants. Un correctif propre n'annule pas les dommages déjà causés.
Q Quels sont les signes avant-coureurs courants d'une attaque
R Des connexions sortantes inattendues, des fichiers nouveaux ou modifiés dans les répertoires web, des tâches cron étranges, des utilisateurs ou clés SSH inconnus, des processus inhabituels et des pics dans les journaux d'erreurs ou les 500.
Q Comment vérifier si mon application est vulnérable
R Recherchez dans votre code les fonctions dangereuses et voyez si certaines prennent des entrées utilisateur. Vérifiez aussi les téléversements de fichiers, les chemins d'include et les appels à unserialize. Lancez un outil d'analyse statique et une dépendance
