🌐 Contexte

CYFIRMA publie le 24 octobre 2026 la version 3 d’un advisory évolutif (“early warning”) concernant une campagne offensive en cours, attribuée avec confiance modérée à un acteur étatique nord-coréen affilié à l’écosystème Lazarus Group (également suivi sous APT38, Hidden Cobra, ZINC / Diamond Sleet). La campagne cible des infrastructures PHP exposées sur Internet à l’échelle mondiale.

🎯 Vulnérabilités exploitées

Deux CVE critiques sont au cœur de la campagne :

  • CVE-2026-109618 et CVE-2026-109619 — CVSS v4.0 : 9.2 CRITICAL
  • Type : Remote Code Execution (RCE) non authentifiée dans le cœur de PHP
  • Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (publiées le 21 octobre 2026)
  • PHP 8.1 et antérieur : aucun correctif officiel disponible
  • Vecteur d’entrée confirmé : requêtes multipart/form-data craftées, particulièrement efficaces contre Apache mod_php en mode prefork par défaut

🕵️ Attribution et infrastructure

  • Deux opérateurs (handles partiellement redactés) actifs depuis mars 2026, coordonnant via un canal I2P fermé
  • Infrastructure séparée : 15 IPs de staging, 17 IPs source (v2), 21 nœuds de scan (v3)
  • Tradecraft confirmé : séparation d’infrastructure, pacing bas et lent, rotation de nœuds, discipline de burn (adresses filtrées retirées et non réutilisées)
  • Triage assisté par IA des PoC publics pour accélérer la weaponisation

📊 Ensemble de cibles

  • 216 hôtes identifiés comme non patchés ou partiellement mitigés
  • Première exploitation connue : 17 octobre 2026
  • ~1/3 des hôtes déjà scannés au moment de la publication

Géographies prioritaires (12 pays) : USA, Japon, Thaïlande, Indonésie, Corée du Sud, Australie, Taïwan, Inde, Singapour, UAE, Arabie Saoudite, UE

Secteurs ciblés (8, 3 niveaux) : Gouvernement, institutions financières (BFSI), logistique, aéroports/aviation, industrie manufacturière, plateformes de transactions en ligne

🔧 Techniques observées

  • PHP web shell tooling : déploiement de web shells PHP pour RCE, persistance et post-exploitation
  • Upload progress session poisoning : exploitation de la fonctionnalité session upload progress de PHP via des requêtes multipart/form-data craftées pour empoisonner les données de session

📡 Indicateurs

21 adresses IPv4 de nœuds de scan publiées dans cette version (v3), en complément des 17 IPs v2 et 15 IPs de staging. Les nœuds de scan sont décrits comme des machines compromises (potentiellement appartenant à des organisations victimes).

📋 Type d’article

Advisory CTI évolutif (version 3/living advisory) à but opérationnel : notification pré-attaque destinée aux équipes SOC, infrastructure et réponse à incident pour blocage d’IOCs, patching et chasse aux menaces.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1595.002 — Active Scanning: Vulnerability Scanning (Reconnaissance)
  • T1584.005 — Compromise Infrastructure: Botnet (Resource Development)
  • T1588.006 — Obtain Capabilities: Vulnerabilities (Resource Development)
  • T1071 — Application Layer Protocol (Command and Control)
  • T1090 — Proxy (Command and Control)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • PHP2Shell (tool)
  • PHP Web Shell (backdoor)

🟢 Indice de vérification factuelle : 85/100 (haute)

  • ✅ cyfirma.com — source reconnue (Rösti community) (20pts)
  • ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 23 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
  • ✅ 7 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ✅ acteur(s) identifié(s) : Lazarus Group, APT38, Hidden Cobra (5pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 142.93.155.162 (ip) → AbuseIPDB (36% confiance, 12 signalements) + VT (4/92 détections)
  • 134.122.38.73 (ip) → AbuseIPDB (100% confiance, 187 signalements) + VT (9/92 détections)
  • 5.255.114.109 (ip) → AbuseIPDB (68% confiance, 24 signalements) + VT (7/92 détections)

🔗 Source originale : https://www.cyfirma.com/research/cyfirma-threat-advisory-suspected-dprk-campaign-staging-php2shell-targeting-against-global-php-infrastructure/