A la une aujourd’hui:
- PHP2Shell : une entité gouvernementale européenne compromise en deux heures
- PHP2Shell : une troisième faille PHP identifiée, sans correctif d’urgence
- Le Parti communiste français victime d’une fuite de données de ses adhérents
- BlackX : un bootkit UEFI cible des diplomaties d’Asie centrale, APT41 soupçonné
- Cyberattaque chez Railway : tous les utilisateurs appelés à révoquer leurs clés secrètes
PHP2Shell : une entité gouvernementale européenne compromise en deux heures
Points Clés :
- Une entité gouvernementale européenne compromise en deux heures via PHP2Shell, avec des traces d’IA agentique
- Une campagne soupçonnée d’être liée à l’écosystème Lazarus sonde 216 hôtes vulnérables dans plusieurs pays
- Près de 37 millions de systèmes exposés exécutent PHP ; seule la mise à jour corrige la faille
Description :
Des attaquants exploitent activement les failles critiques PHP2Shell (CVE-2026-109618 et CVE-2026-109619), qui permettent l’exécution de code à distance dans les configurations PHP par défaut. Selon Palo Alto Networks, une entité gouvernementale européenne a été compromise en deux heures, avec vol de hachages de mots de passe et de secrets MFA, à l’aide d’outils d’IA agentique. Parallèlement, CYFIRMA attribue avec une confiance modérée une campagne de scan mondiale à un opérateur lié à l’écosystème Lazarus.
Pourquoi c’est important :
Cette affaire illustre la rapidité des intrusions lorsque des attaquants s’appuient sur des plateformes d’IA agentique pour mener la post-exploitation. L’enjeu dépasse ce cas isolé : PHP équipe près de 37 millions de systèmes exposés sur Internet, et seule une mise à jour du langage sur l’hôte corrige la faille. La campagne soupçonnée d’être nord-coréenne illustre enfin la préparation d’exploitations futures contre des cibles gouvernementales et financières.
PHP2Shell : une troisième faille PHP identifiée, sans correctif d’urgence
Points Clés :
- La faille CVE-2026-115560 nécessite une combinaison de configuration très improbable pour être exploitée
- Aucun correctif d’urgence n’est prévu : le correctif accompagnera la prochaine version régulière de PHP
- Aucune compromission confirmée n’a été attribuée aux deux failles PHP2Shell malgré de nombreuses tentatives
Description :
La Fondation PHP a réservé l’identifiant CVE-2026-115560 pour une troisième faille d’exécution de code à distance, après les deux vulnérabilités PHP2Shell corrigées mercredi. Cette faille nécessite une combinaison de configuration et de code applicatif jugée très improbable, et peut être neutralisée en désactivant le paramètre session.upload_progress.enabled. Elle sera corrigée lors de la prochaine version régulière de PHP, sans publication de correctif d’urgence.
Pourquoi c’est important :
Cette faille concerne potentiellement un vaste parc, PHP propulsant près de 70 % des sites web et plusieurs millions d’hôtes étant exposés en ligne. Toutefois, la configuration requise pour l’exploitation est jugée peu probable en pratique, ce qui limite le risque immédiat.
Le Parti communiste français victime d’une fuite de données de ses adhérents
Points Clés :
- Le PCF a été alerté par l’ANSSI d’une fuite touchant son fichier d’adhérents et sympathisants
- Un hacker revendique le vol des données personnelles de près de 190 000 membres, chiffre non confirmé
- Aucune donnée bancaire compromise selon le parti, qui porte plainte et a alerté la CNIL
Description :
Le Parti communiste français a été alerté par l’ANSSI d’une fuite de données touchant son fichier d’adhérents et sympathisants. Selon le site FrenchBreaches, un hacker revendique la possession des noms, adresses postales, téléphones et emails de près de 190 000 membres, un chiffre non confirmé par le parti. Le PCF a sécurisé ses systèmes, alerté la CNIL et annoncé qu’il porterait plainte, tout en assurant qu’aucune donnée bancaire n’a été compromise.
Pourquoi c’est important :
Cette fuite illustre l’exposition des partis politiques, qui conservent des données sensibles sur leurs adhérents et sympathisants. Les opinions politiques bénéficient d’une protection particulière au titre du RGPD, ce qui aggrave la portée d’une telle compromission. Les personnes concernées seront informées par courriel et sont appelées à la vigilance face à d’éventuelles tentatives de fraude par SMS ou email exploitant ces informations dérobées.
BlackX : un bootkit UEFI cible des diplomaties d’Asie centrale, APT41 soupçonné
Points Clés :
- Le bootkit BlackX a visé des entités diplomatiques au Tadjikistan, en Ouzbékistan et au Turkménistan début 2026
- Kaspersky soupçonne le groupe étatique chinois APT41 et rapproche BlackX du bootkit BlackLotus
- Le logiciel exploite une faille Secure Boot corrigée dont l’activation complète exige des étapes manuelles souvent négligées
Description :
Des organisations diplomatiques d’Asie centrale ont été ciblées début 2026 par BlackX, un bootkit UEFI (virus invisible incrusté dans la carte mère) que Kaspersky soupçonne d’être l’œuvre du groupe APT41, lié à la Chine. Présenté comme une version actualisée de BlackLotus, il exploite la faille CVE-2022-21894 pour compromettre le démarrage de Windows et neutraliser les solutions de sécurité. Il installe ensuite des logiciels espions, dont un cheval de Troie utilisant des services cloud légitimes pour ses communications.
Pourquoi c’est important :
Cette campagne montre qu’un correctif ne suffit pas lorsque sa pleine efficacité exige des manipulations manuelles, ici l’ajout d’un certificat à la liste de révocation de Secure Boot. Elle illustre aussi une pratique rare : un groupe étatique qui s’inspire d’un outil criminel au lieu de développer le sien. Les bootkits UEFI offrent une persistance discrète, particulièrement difficile à détecter sur des réseaux sensibles.
Cyberattaque chez Railway : tous les utilisateurs appelés à révoquer leurs clés secrètes
Points Clés :
- Des pirates ont accédé à des variables d’environnement clients, obtenant parfois leur contenu déchiffré
- Railway recommande à tous ses utilisateurs de révoquer et renouveler leurs clés API et cloud
- L’attaque s’inscrirait dans une campagne plus large ciblant les fournisseurs d’inférence IA
Description :
Railway, plateforme de développement cloud, a confirmé qu’une cyberattaque a permis à des pirates d’accéder à des variables d’environnement chiffrées de clients et, pour certaines, d’en obtenir le contenu déchiffré. Ces variables contiennent des mots de passe et des clés API donnant accès à d’autres services. L’entreprise, qui estime la brèche limitée à un sous-ensemble d’utilisateurs, recommande à tous de révoquer leurs clés et a brièvement suspendu les déploiements.
Pourquoi c’est important :
Cette compromission illustre le risque que représentent les plateformes de développement, dont les secrets volés offrent un accès direct aux données et services des clients. Selon Railway, l’attaque s’inscrirait dans une campagne plus large visant à compromettre les fournisseurs d’inférence IA, quelques jours après une alerte de la CISA sur des attaques menées par des entreprises d’IA basées en Chine. L’outil OpenCode a signalé un incident similaire cette semaine.