Palo Alto Networks confirme l'exploitation active des failles PHP2Shell contre ses interfaces de gestion exposées sur internet.

Palo Alto Networks tire la sonnette d’alarme. Mercredi, l’éditeur a mis à jour son avis de sécurité pour signaler que des attaquants exploitent les failles PHP2Shell. Ces vulnérabilités ont été corrigées récemment. Pourtant, des pirates s’en servent déjà contre des équipements accessibles depuis internet.

Ce que Palo Alto Networks a confirmé

Dans sa mise à jour, l’entreprise de sécurité réseau est très claire. Elle indique avoir observé une exploitation active visant l’interface de gestion de ses produits lorsque celle-ci est exposée sur internet. Autrement dit, la menace n’est plus théorique.

Le point essentiel concerne le vecteur d’attaque. Les attaques ciblent l’interface de gestion, et non le trafic qui traverse les pare-feu. Par conséquent, seules les installations dont cette interface est joignable depuis l’extérieur se trouvent au premier plan du risque.

Les éléments communiqués ne détaillent pas ici l’ampleur des attaques. Ils ne précisent pas non plus l’identité des assaillants. En revanche, la confirmation de l’éditeur suffit à classer le sujet comme urgent. Les administrateurs doivent donc consulter l’avis officiel pour connaître les identifiants CVE, les versions concernées et les correctifs associés.

Pourquoi les failles PHP2Shell inquiilent les administrateurs

Le nom « PHP2Shell » laisse penser à un lien entre l’interface web de gestion et l’exécution de commandes sur le système. Cependant, il convient de rester prudent. Seul l’avis de l’éditeur permet de connaître le mécanisme exact de chaque vulnérabilité.

Ce qui est certain, c’est le contexte. Une interface de gestion donne un contrôle étendu sur un équipement de sécurité. Ainsi, un attaquant qui la compromet peut modifier la configuration, désactiver des protections ou se déplacer vers le réseau interne. De plus, un pare-feu compromis offre une position idéale pour espionner les flux.

Par ailleurs, ce scénario n’est pas inédit. En novembre 2024, des attaquants avaient déjà exploité des failles de PAN-OS, dont CVE-2024-0012 et CVE-2024-9474, sur des interfaces de gestion exposées. Les équipes de sécurité connaissent donc bien ce type de risque. Les cybercriminels, eux aussi, savent que ces interfaces constituent une cible rentable.

Réduire l’exposition de l’interface de gestion

Les correctifs sont disponibles, mais leur déploiement prend parfois du temps. Pendant cette période, la réduction de la surface d’attaque reste la mesure la plus efficace. En effet, une interface inaccessible depuis internet est beaucoup plus difficile à exploiter.

Les équipes concernées peuvent suivre plusieurs étapes simples :

• Vérifier d’abord si l’interface de gestion est joignable depuis internet.
• Restreindre ensuite l’accès à des adresses IP internes de confiance.
• Passer par un réseau d’administration dédié ou par un VPN.
• Appliquer sans attendre les correctifs publiés par l’éditeur.

Cette approche correspond d’ailleurs aux bonnes pratiques recommandées de longue date pour les équipements de sécurité. Néanmoins, beaucoup d’organisations laissent encore ces interfaces ouvertes, souvent par commodité ou par oubli.

Détecter une éventuelle compromission

Appliquer le correctif ne suffit pas si l’équipement a déjà été visé. Une intrusion peut avoir eu lieu avant la mise à jour. C’est pourquoi les équipes doivent aussi analyser leurs journaux d’activité.

Elles peuvent notamment rechercher des connexions inhabituelles à l’interface de gestion. Il est également utile de contrôler les modifications récentes de configuration. Enfin, tout comportement inattendu de l’équipement mérite une investigation approfondie. En cas de doute, il vaut mieux suivre les consignes de l’éditeur et, si nécessaire, solliciter une équipe de réponse à incident.

Les journaux de l’interface web et du système peuvent révéler des requêtes suspectes. De plus, la comparaison avec une configuration saine permet de repérer des changements non autorisés. Si l’interface était exposée depuis la publication des correctifs, il faut considérer le risque comme réel.

Ce qu’il faut retenir

• Palo Alto Networks a confirmé une exploitation active des failles PHP2Shell.
• Les attaques visent l’interface de gestion exposée sur internet.
• Les vulnérabilités ont été corrigées récemment : l’application des correctifs est prioritaire.
• Les identifiants CVE et les versions touchées figurent dans l’avis officiel de l’éditeur.
• Limiter l’accès à l’interface de gestion réduit fortement le risque.
• L’analyse des journaux permet de détecter une compromission antérieure au correctif.

En résumé, le message de l’éditeur est limpide. Toute interface de gestion accessible publiquement doit être traitée en urgence. Les équipes qui agissent vite limitent considérablement leur exposition.

Source : Attackers Exploit PHP2Shell Flaws in Internet-Exposed Palo Alto Networks Management Interfaces