Les attaquants se sont attaqués à une faille PHP avant l’annonce publique
On craint de plus en plus que des informations aient été divulguées sur une vulnérabilité critique dans le langage de programmation largement utilisé PHP avant la publication de l’annonce publique et du correctif, sur la base de la découverte par Amazon et Cloudflare de tentatives d’exploitation du bug.
Amazon Threat Intelligence a déclaré avoir détecté des tentatives apparentes d’exploitation de la faille sur ses serveurs honeypot le 17 octobre, quatre jours avant la publication des détails de la vulnérabilité et d’un correctif de sécurité le 21 octobre.
Cette activité suggère que les attaquants avaient une connaissance préalable de la faille, même si la manière dont ils l’ont obtenue reste floue.
Le PDG de Cloudflare, Matthew Prince, a déclaré dans un article sur X, anciennement Twitter, le 22 octobre, que la société avait observé « des milliers de tentatives d’exploitation » sur son réseau commençant 10 heures avant que la vulnérabilité ne soit divulguée publiquement.
Le rythme des attaques s’est rapidement accéléré après la publication des détails de la faille.
« Cela est passé à des dizaines de milliers dans les 45 minutes qui ont suivi l’annonce, à des centaines de milliers en deux heures et à des millions maintenant », a écrit Prince.
Amazon a également déclaré avoir détecté des tentatives supplémentaires d’exploitation de la vulnérabilité avant la divulgation publique du 21 octobre.
Le code d’exploitation a commencé à circuler quelques heures après sa publication et l’entreprise a rapidement détecté les attaques qui l’utilisaient.
On ne sait toujours pas si les attaques observées contre les serveurs honeypot ont réussi à compromettre les systèmes réels.
Amazon a exhorté les organisations à enquêter sur les signes potentiels d’intrusion remontant au moins au 17 octobre, avertissant que la vulnérabilité est désormais largement exploitée.
