RCE critiques dans PHP et GitLab, ainsi que la compromission de l'AC eMudhra

La semaine du 20 octobre 2026 a été marquée par une vague d'incidents de sécurité critiques affectant des composants logiciels largement utilisés. La Fondation PHP et GitLab ont publié des correctifs urgents pour des vulnérabilités permettant l'exécution de code à distance sans authentification, tandis que l'autorité de certification indienne eMudhra a cessé ses activités après la compromission de ses clés privées. Ces événements soulignent la fragilité tant du code applicatif que de l'infrastructure de confiance qui sécurise les communications web.

Ce qui s'est passé

Deux vulnérabilités sévères dans PHP, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont été divulguées sous le nom de PHP2Shell. Ces failles permettent aux attaquants d'exécuter du code arbitraire sur les serveurs sans authentification. Suite à cette divulgation publique, Cloudflare a signalé avoir détecté des millions de tentatives de scan ciblant ces faiblesses. Bien qu'aucune exploitation réussie n'ait encore été confirmée, le volume considérable de sondages et l'omniprésence de PHP ont poussé certains opérateurs de sites web à mettre temporairement leurs services hors ligne par précaution.

Parallèlement, le modèle de confiance des certificats HTTPS a subi un coup dur. Huit certificats d'AC intermédiaires d'eMudhra utilisaient des clés privées critiquement faibles, les rendant susceptibles d'être falsifiés. Cette compromission signifiait que les attaquants pouvaient potentiellement émettre des certificats valides pour n'importe quel domaine, facilitant ainsi les attaques de type homme du milieu (man-in-the-middle). En réponse, des navigateurs majeurs comme Safari d'Apple ont commencé à bloquer automatiquement les certificats affectés. Python a également mis à jour plusieurs paquets, y compris certifi et pip, pour retirer l'AC racine compromise emSign de leurs ensembles de confiance. Par conséquent, eMudhra a annoncé son retrait de l'activité d'émission de certificats.

D'autres incidents notables incluent la découverte de Plex2Shell, une chaîne de quatre vulnérabilités dans Plex Media Server activement exploitée pour déployer des mineurs de cryptomonnaies. GitLab a corrigé une faille critique de dépassement d'entier, CVE-2026-110264, avec un score CVSS parfait de 10.0, qui pourrait permettre l'exécution de code non authentifié. De plus, une attaque sur la chaîne d'approvisionnement visant LiteLLM a été retracée jusqu'à une clé maître fuite sur GitHub, entraînant une version malveillante du paquet qui collectait les identifiants et installait des portes dérobées.

Détails clés

• Les vulnérabilités PHP2Shell (CVE-2026-109618, CVE-2026-109619) ont déclenché des millions de scans mais n'ont pas encore confirmé d'exploitations réussies.
• eMudhra a quitté le marché des certificats TLS après que des clés privées faibles ont permis une potentielle falsification de certificats de confiance.
• Apple et Python ont mis à jour leurs systèmes pour bloquer ou supprimer les certificats d'AC racine emSign compromis d'eMudhra.
• GitLab a corrigé CVE-2026-110264, une faille critique d'exécution de code à distance avec un score CVSS de 10.0, dans plusieurs versions récentes.
• Les vulnérabilités de Plex Media Server sont activement exploitées dans la nature pour installer des mineurs et des logiciels proxy.
• Une fuite de la clé maître de LiteLLM a conduit à une attaque sur la chaîne d'approvisionnement où du code malveillant s'exécutait automatiquement au démarrage de Python.

Contexte

L'exécution de code à distance (RCE) est l'un des types de vulnérabilités de sécurité les plus dangereux. Elle permet à un attaquant d'exécuter des commandes arbitraires sur un serveur, lui donnant effectivement un contrôle total sur le système. Lorsqu'une RCE ne nécessite pas d'authentification, cela signifie que l'attaquant n'a pas besoin d'un nom d'utilisateur ou d'un mot de passe pour l'exploiter, ce qui la rend particulièrement grave. C'est pourquoi des failles comme PHP2Shell et le dépassement d'entier de GitLab sont traitées avec une extrême urgence.

Les autorités de certification (AC) sont des entités de confiance qui émettent des certificats numériques pour vérifier l'identité des sites web. Les navigateurs et les systèmes d'exploitation maintiennent une liste des AC racines de confiance. Si la clé privée d'une AC est faible ou compromise, les attaquants peuvent créer de faux certificats que les navigateurs accepteront comme valides. Cela rompt le modèle de chiffrement et de confiance du HTTPS, permettant aux attaquants d'intercepter et de modifier le trafic entre les utilisateurs et les sites web sans déclencher d'avertissements de sécurité.

Pourquoi c'est important

Pour les équipes utilisant des logiciels auto-hébergés, les vulnérabilités PHP et GitLab représentent des risques opérationnels immédiats. De nombreux outils internes, tableaux de bord et pipelines de développement reposent sur ces plateformes. Une RCE non authentifiée signifie que si votre serveur est exposé à Internet, même brièvement, il pourrait être compromis avant que vous n'ayez la chance de le patcher. Le volume élevé d'activité de scan indique que des bots automatisés chassent déjà des instances vulnérables, réduisant la fenêtre de sécurité pour les systèmes non patchés.

La compromission d'eMudhra met en évidence un risque de dépendance souvent négligé. Même si votre propre infrastructure est sécurisée, vous comptez sur des AC tierces pour obtenir des certificats TLS valides. Lorsqu'une AC majeure est compromise, cela peut perturber les services si les navigateurs bloquent leurs certificats, ou pire, exposer les utilisateurs à des attaques d'interception sophistiquées. Pour les responsables IT, cela souligne la nécessité de surveiller non seulement vos propres certificats, mais aussi le statut de confiance des émetteurs eux-mêmes.

Les attaques sur la chaîne d'approvisionnement, comme celle affectant LiteLLM, démontrent que les vulnérabilités peuvent pénétrer dans votre environnement via des dépendances que vous n'avez pas directement écrites. Une seule fuite de clé peut compromettre des milliers d'utilisateurs en aval. Il est donc essentiel de vérifier l'intégrité des paquets et de gérer rigoureusement les secrets, surtout dans les outils d'IA et de développement où les clés API sont courantes.

Que pouvez-vous faire

• Mettez à jour PHP vers la dernière version patchée immédiatement pour atténuer les vulnérabilités PHP2Shell.
• Passez GitLab à l'une des versions corrigées (par exemple, 19.5.1, 19.4.3) pour traiter la faille RCE critique.
• Vérifiez si vos systèmes font confiance aux certificats eMudhra ou emSign et retirez-les de vos magasins de confiance s'ils y figurent.
• Auditez vos installations de Plex Media Server et appliquez les correctifs pour prévenir l'exploitation active par Plex2Shell.
• Faites tourner toutes les clés API ou secrets stockés dans LiteLLM ou des plateformes similaires s'ils étaient accessibles avant le 21 octobre 2026.
• Surveillez votre trafic réseau sortant pour détecter des connexions inhabituelles qui pourraient indiquer un serveur compromis envoyant des données.