Le chercheur en sécurité James Pavur a lancé le 24 octobre un serveur volontairement vulnérable à PHP2Shell, contenant un portefeuille bitcoin et récompensé par les participants qui réussiraient à l’exploiter. Le pentester britannique Jaydip Modhwadia, surnommé Killa, a obtenu une exécution de code à distance le 25 octobre à 15 h 47 UTC à l’aide d’un script Python et de moins de vingt requêtes HTTP. La récompense, initialement fixée à 500 dollars, a été portée à 2 000 dollars grâce aux dons de la communauté, et une partie de cette somme sera reversée à la Lupus Foundation. Selon Censys, 32,51 millions de services PHP fonctionnaient encore sur une version vulnérable lors de la publication de correctifs. La CISA a inscrit les failles CVE-2026-109618 et CVE-2026-109619 dans son catalogue des vulnérabilités activement exploitées, avec une note de gravité de 9,2 sur 10.
Source: Lire l’article original
