Le FBI, la National Security Agency et la Cybersecurity and Infrastructure Security Agency ont urged les organisations à corriger deux vulnérabilités critiques de PHP, baptisées PHP2Shell et suivies par les références CVE-2026-109618 et CVE-2026-109619. Ces failles, notées 9,2 sur l’échelle CVSS v4.0, permettent potentially à des attaquants d’exécuter du code malveillant sans authentification sur des serveurs vulnérables. La PHP Foundation a publié des correctifs le 21 octobre 2026, tandis que Cloudflare a bloqué une partie du trafic d’attaque, sans que cela remplace la mise à jour des systèmes. L’existence de ces vulnérabilités ne signifie pas que les cryptomonnaies, les clés privées conservées hors ligne ou les comptes des plateformes d’échange sont compromis : les détenteurs doivent vérifier les alertes officielles, les transactions suspectes et l’exposition éventuelle de leurs identifiants avant de décider s’il faut retirer des fonds ou vendre leurs actifs. Par ailleurs, l’enquête de Ledger sur un implant matérielarchar estimée à 93 millions de dollars pour 311 portefeuilles constitue une menace distincte liée à la chaîne d’approvisionnement, et non une conséquence de PHP2Shell.
Source: Lire l’article original
