Exploitation confirmée des vulnérabilités PHP2Shell dans la nature

Des chercheurs en sécurité ont confirmé que les vulnérabilités critiques PHP2Shell, référencées sous les numéros CVE-2026-109618 et CVE-2026-109619, sont activement exploitées dans le cadre d'attaques réelles. Ces failles, qui affectent le langage de programmation PHP largement utilisé, permettent aux attaquants d’exécuter du code à distance (RCE), ce qui leur donne potentiellement le contrôle des serveurs web vulnérables.

Des chercheurs exploitant des « honeypots » exposés à Internet ont recueilli des preuves d’une exploitation réussie contre un serveur Apache exécutant PHP 8.4.26, ce qui constitue la confirmation la plus solide à ce jour que les attaquants peuvent exploiter ces vulnérabilités de manière fiable. Des rapports antérieurs avaient déjà identifié des tentatives généralisées de balayage et d’exploitation, mais la plupart des attaques observées avaient échoué avant que les correctifs de sécurité ne soient disponibles.

Ces vulnérabilités ont suscité un vif intérêt en raison de l’utilisation généralisée de PHP sur les sites web, les applications web et les systèmes de gestion de contenu à l’échelle mondiale. Les éditeurs de solutions de sécurité avaient déjà averti que les acteurs malveillants avaient commencé à rechercher des systèmes vulnérables avant même la publication des correctifs, et l’activité s’est considérablement intensifiée après la divulgation de ces failles.

L’équipe de développement de PHP a déjà publié des mises à jour de sécurité, et les organisations sont invitées à appliquer ces correctifs sans délai. Les experts avertissent que les systèmes non corrigés restent exposés à un risque élevé de compromission, tandis qu’une nouvelle vulnérabilité de PHP récemment révélée, pour laquelle aucun correctif n’est encore disponible, ajoute une source d’inquiétude supplémentaire pour les responsables de la sécurité chargés de surveiller les infrastructures connectées à Internet. Consultez nos recommandations ICI.

Un ancien ministre de la Défense affirme que la cyberattaque contre Jaguar Land Rover était soutenue par un État

Un nouveau débat a vu le jour autour de la cyberattaque qui a gravement perturbé Jaguar Land Rover (JLR) en 2025, après que l’ancien ministre des Forces armées britanniques, Al Carns, a publiquement suggéré que cet incident avait été soutenu par un État étranger hostile. Cette attaque, précédemment attribuée à un groupe de cybercriminels russes, a contraint le plus grand constructeur automobile britannique à interrompre sa production pendant cinq semaines et a perturbé des milliers d’entreprises tout au long de sa chaîne d’approvisionnement.

On estime que cette cyberattaque a causé entre 1,6 et 2,1 milliards de livres sterling de dommages économiques, ce qui en fait l’un des incidents cybernétiques les plus coûteux de l’histoire du Royaume-Uni. Environ 5 000 organisations, dont des concessionnaires, des fournisseurs et des partenaires de réparation, auraient été touchées, JLR ayant été contraint de mettre hors service ses principaux systèmes informatiques et ses opérations de fabrication.

Bien que M. Carns ait précisé que ses propos ne reposaient pas sur une évaluation officielle du gouvernement, il a fait valoir qu’une attaque d’une telle ampleur aurait peu de chances de se produire à l’insu du pays hôte. Les autorités britanniques n’ont pas officiellement attribué cet incident à un acteur étatique, et le gouvernement a refusé de commenter les enquêtes en cours.

Cette attaque a déclenché une vaste mobilisation internationale impliquant le Centre national de cybersécurité (NCSC) et l’Agence nationale contre la criminalité (NCA) du Royaume-Uni, le FBI ainsi que des experts en cybersécurité du secteur privé. Cet incident a relancé les débats sur la protection des infrastructures critiques, la résilience de la chaîne d’approvisionnement et le chevauchement croissant entre la cybercriminalité et les menaces géopolitiques.

ENGIE confirme une fuite de données clients suite à la compromission d’une plateforme tierce

Le fournisseur d’énergie français ENGIE a confirmé que des données clients avaient été volées après que des pirates ont compromis une plateforme marketing utilisée par l’un de ses partenaires commerciaux. L’incident n’a pas affecté les systèmes informatiques internes d’ENGIE, mais l’accès non autorisé à la plateforme tierce a exposé des informations clients liées aux activités françaises de l’entreprise.

Selon ENGIE, les données compromises comprennent les coordonnées des clients et des informations limitées relatives aux contrats d’énergie. Les informations exposées comprendraient notamment les noms, adresses postales, adresses e-mail, numéros de téléphone, identifiants client et numéros de contrat. L’entreprise a souligné qu’aucune donnée bancaire ou de paiement n’avait été consultée lors de cette violation.

ENGIE a déclaré avoir rapidement révoqué l’accès des attaquants, averti les autorités compétentes et contacté les clients concernés. Il a été conseillé aux personnes touchées de rester vigilantes face aux tentatives d’hameçonnage et de fraude, car les cybercriminels utilisent souvent des informations personnelles volées pour donner un aspect plus légitime à leurs communications frauduleuses.

Bien que l’entreprise n’ait pas révélé le nombre de clients touchés ni attribué l’attaque à un groupe malveillant spécifique, cet incident met en évidence les risques de cybersécurité liés aux fournisseurs tiers et aux plateformes marketing. Cette violation rappelle une nouvelle fois que les organisations doivent étendre leur surveillance en matière de sécurité au-delà de leurs propres systèmes pour inclure les partenaires et prestataires de services qui traitent les données clients.

Le portail fiscal belge mis hors ligne à la suite d’une cyberattaque

Le Service public fédéral belge des Finances (SPF Finances) a temporairement mis hors ligne plusieurs services en ligne, dont le portail fiscal MyMinfin, après avoir détecté une cyberattaque visant son infrastructure numérique.

MyMinfin est largement utilisé par les particuliers et les entreprises pour gérer leurs déclarations d’impôts, consulter des documents financiers et accéder aux services fiscaux de l’État. Par mesure de précaution, les autorités ont suspendu l’accès à la plateforme le temps que les équipes techniques enquêtent sur l’incident et mettent en place des mesures de sécurité supplémentaires.

Cette perturbation a également affecté d’autres services numériques gérés par l’administration fiscale, ce qui a conduit les responsables à annoncer que certains délais de dépôt des déclarations fiscales seraient prolongés. Les nouvelles dates limites devraient être communiquées dès que les services seront rétablis.

À ce stade, le SPF Finances indique qu’il n’existe aucune preuve que des données personnelles ou financières aient été compromises, bien que l’enquête se poursuive. Les autorités continuent d’évaluer l’ampleur totale de l’incident et s’efforcent de sécuriser les systèmes affectés avant de remettre les services en ligne.

Cette attaque met en évidence les défis croissants en matière de cybersécurité auxquels sont confrontés les organismes publics et les services publics essentiels, pour lesquels la disponibilité des services et la protection des données restent des priorités absolues face à des cybermenaces de plus en plus sophistiquées.

Une fuite de données chez Sony expose les dossiers de 2,5 millions de clients

Sony Network Communications, une filiale du groupe Sony, a confirmé une importante fuite de données qui a exposé les informations personnelles d’environ 2,5 millions de clients actuels et anciens. L’incident a touché la plateforme de services Internet So-net de l’entreprise et a été découvert plusieurs jours après qu’un accès non autorisé aux bases de données clients a eu lieu.

Selon l’entreprise, les données compromises comprennent les noms des clients, leurs numéros de téléphone, leurs adresses e-mail, leurs identifiants d’utilisateur, leurs dates de naissance, leur sexe et leurs identifiants de connexion Internet. Bien qu’aucune coordonnée bancaire, aucune information relative aux cartes de paiement ni aucune donnée de compte financier n’ait été exposée, les enquêteurs ont confirmé que plus de 54 000 comptes de messagerie et les mots de passe associés avaient également été consultés, ce qui a donné lieu à des alertes de sécurité et à des recommandations de réinitialisation des mots de passe.

Cette violation concerne à la fois les clients de So-net et les utilisateurs des services fournis dans le cadre d’un partenariat avec NTT Docomo, l’un des plus grands opérateurs de télécommunications du Japon. En réponse, NTT Docomo a averti ses clients de rester vigilants face aux campagnes d’hameçonnage et aux sites web frauduleux tentant d’exploiter les informations volées.

Sony a signalé l’incident à l’autorité japonaise de protection de la vie privée et poursuit son enquête sur la cause et l’ampleur de cette violation. Bien qu’il n’y ait pour l’instant aucune preuve que les données volées aient fait l’objet d’une utilisation abusive, cette violation souligne les risques croissants en matière de cybersécurité auxquels sont confrontés les opérateurs de télécommunications, ainsi que la valeur que représentent les données clients pour les cybercriminels.

Si l'une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d'aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus graves auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte oucliquer icipour découvrir comment protéger votre organisation.

Le « Threat Intel Roundup » a été rédigé par Integrity360 afin de résumer l’actualité des menaces telle que nous l’observons, à la date de publication. Il ne doit en aucun cas être considéré comme un conseil juridique, un conseil en conseil ou tout autre conseil professionnel. Toute recommandation doit être envisagée dans le contexte propre à votre organisation. Integrity360 n'adopte aucune position politique dans les informations qu'elle partage. De plus, les opinions exprimées ne reflètent pas nécessairement le point de vue d'Integrity360.