Les administrateurs qui s’efforcent de corriger deux vulnérabilités critiques de PHP doivent composer avec un détail inquiétant : les tentatives d’exploitation semblent avoir commencé avant la divulgation publique.
Amazon Web Services a détecté une attaque remontant au 17 octobre en examinant l’activité enregistrée par un système exposé à internet et volontairement vulnérable. Les correctifs publics des vulnérabilités, appelées collectivement PHP2Shell, ont été publiés le 21 octobre.
Une activité antérieure à la divulgation
Les honeypots sont des systèmes configurés pour sembler vulnérables afin que les défenseurs puissent observer les techniques d’attaque. Selon AWS, la tentative du 17 octobre provenait d’une adresse IP associée à un réseau commercial d’anonymisation, comme un proxy ou un VPN.
AWS n’a pas pu déterminer comment l’attaquant avait obtenu les informations avant la divulgation.
Une exploitation désormais plus large
Une fois les correctifs disponibles, des exploits publics de preuve de concept ont commencé à apparaître. AWS affirme que certains sont apparus plusieurs heures avant la divulgation publique prévue.
L’entreprise estime que PHP2Shell est désormais largement exploité dans la nature, même si son analyse technique se poursuit.
Ce que montre la découverte
Les éléments disponibles n’identifient pas l’auteur de l’activité du 17 octobre, ne confirment pas la réussite d’un exploit et n’expliquent pas l’origine des informations. Ils établissent toutefois qu’AWS a enregistré une tentative contre un honeypot avant la révélation publique.
Les équipes de sécurité doivent identifier les déploiements PHP concernés, appliquer les correctifs et rechercher les signes d’exploitation.
Une leçon sur l’urgence des correctifs
La divulgation publique ne marque pas le début du risque ; elle marque souvent le moment où le risque devient visible pour un groupe plus large de défenseurs et d’attaquants. Les informations sur PHP2Shell montrent que l’exploitation peut commencer avant ce moment.
AWS affirme que l’exploitation est déjà étendue, faisant du correctif et de l’enquête les priorités immédiates.
Cet article s’appuie sur un reportage de Wired. Lire l’article original.
Originally published on wired.com