Des chercheurs d'Amazon Web Services ont découvert que des acteurs malveillants tentaient d'exploiter les failles critiques de PHP, nommées PHP2Shell, dès le 17 octobre, soit quatre jours avant la publication officielle du correctif. Cette précocité met en lumière la pression croissante sur les processus de divulgation et la capacité des hackers à transformer rapidement un correctif en exploit fonctionnel, notamment grâce à l'intelligence artificielle.
Première exploitation détectée le 17 octobre
En analysant les logs d'un serveur leurre (honeypot), AWS a identifié une tentative d'exploitation provenant d'une adresse IP associée à un réseau d'anonymisation commercial, typiquement un service VPN. Cette activité a eu lieu alors que les vulnérabilités étaient encore sous embargo, ce qui indique que l'acteur avait accès aux informations techniques avant la divulgation publique.
Course contre la montre des administrateurs
Le mercredi suivant, le 21 octobre, les correctifs pour les deux failles PHP ont été publiés, déclenchant une mobilisation massive des équipes de sécurité et des administrateurs de sites web. Certains gouvernements et organisations ont même mis hors ligne des sites critiques par précaution, afin d'éviter d'être la cible d'attaques avant l'application des patches. Malgré ces mesures, les chercheurs d'AWS ont observé plusieurs tentatives d'exploitation anonymisées, provenant de différents fournisseurs de services, suggérant l'implication de plusieurs groupes distincts.
Rôle accélérateur de l'intelligence artificielle
Selon CJ Moses, responsable de la sécurité chez AWS, le délai entre la publication d'un correctif et la disponibilité d'un exploit fonctionnel se réduit drastiquement. L'IA permet de transformer rapidement un diff de correctif ou une note de sécurité en code exploitable, rendant la création d'exploits accessible à des acteurs moins expérimentés. Cette évolution structurelle menace la capacité des organisations à réagir à temps, car les attaques peuvent survenir en quelques heures, voire minutes, après la divulgation.
Conséquences pour la gouvernance de la cybersécurité
Les découvertes d'AWS soulignent la nécessité d'un modèle de divulgation plus rapide et coordonné, afin de limiter la fenêtre d'exposition. Elles incitent également les décideurs à investir dans des capacités de détection précoce, comme les honeypots, et à renforcer les protocoles de mise à jour automatisée. Enfin, la situation rappelle que la sécurisation du code open source, largement utilisé dans les infrastructures africaines et mondiales, doit être intégrée aux stratégies nationales de cybersécurité.