PHP2Shell (CVE-2026-109618/109619) : artefact Velociraptor YARA pour détecter l'exploitation in-the-wild

🔍 Contexte

Publié le 27 octobre 2026 sur l’Artifact Exchange de Velociraptor, cet artefact (Generic.Detection.Yara.PHP2Shell) est signé par Matt Green (@mgreen27). Il vise à détecter l’exploitation active des vulnérabilités CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell, permettant une exécution de code à distance (RCE) via PHP.

⚙️ Mécanisme d’exploitation

La chaîne d’exploitation se déroule en plusieurs étapes documentées :

• A1 – Heap pressure : envoi de requêtes multipart upload-progress avec une query string spécifique (?q0000000=v...q0000004=v) pour provoquer un OOM pré-script
• B1 – Disclosure : fuite de mémoire heap via le cookie PHPSESSID (819 200 B pour le PoC 9bie, 16/256 B pour StealMyBitcoin)
• A2 – Heap pressure : multipart à longueur fixe pour un second OOM
• B2 – Execution : déclenchement d’un faux destructeur zend_array → system() → /bin/sh ou cmd.exe
• Pinning : maintien de N-1 workers pré-fork via exploit.py --workers

🧰 Sources et PoCs

Les règles YARA sont construites à partir de :

• Le rapport honeypot 0x4D31 (24 oct. 2026) avec logs de cas confirmés
• Le PoC public 9bie/php2shell-bypass-aslr-exp
• Le PoC CTF StealMyBitcoin (KillaBoi)

🎯 Règles YARA incluses

• PHP2Shell_PoC_QueryString (High) : détecte la query string du PoC 9bie
• PHP2Shell_Shell_Stderr (High) : erreurs shell/cmd.exe dans les logs d’erreur
• PHP2Shell_Chain_Cluster (High) : deux OOM pré-script dans 256 KB avec avertissement de limite ou session invalide
• PHP2Shell_Leak_SetCookie (High) : PHPSESSID avec bytes percent-escapés (fuite mémoire)
• PHP2Shell_PreScript_OOM (Medium) : OOM mémoire en phase de démarrage de requête

📡 IOCs compilés

• IP 15.204.59.70 (High) : source RCE confirmée épisode A, callback wget :8081 (OVH US)
• IP 162.35.99.94 (High) : source RCE confirmée épisode B, callback :8080 et :80 (Interserver)
• IP 144.48.4.242 (Medium) : requêtes exploit-shaped avec erreurs PHP
• IP 104.28.208.84 (Low) : requêtes exploit-shaped, egress Cloudflare WARP (AS209242)
• Path /pwn- (Medium) : chemin callback épisode B
• :8081/ok33 (High) : chemin callback wget épisode A

📋 Type d’article

Il s’agit d’une publication d’outil de détection (artefact CTI/DFIR) destinée aux équipes de réponse à incident souhaitant chasser les traces d’exploitation PHP2Shell dans leurs infrastructures via Velociraptor.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1059.003 — Command and Scripting Interpreter: Windows Command Shell (Execution)
• T1499.004 — Endpoint Denial of Service: Application or System Exploitation (Impact)

IOC

• IPv4 : 15.204.59.70 — AbuseIPDB · VT · ThreatFox
• IPv4 : 162.35.99.94 — AbuseIPDB · VT · ThreatFox
• IPv4 : 144.48.4.242 — AbuseIPDB · VT · ThreatFox
• IPv4 : 104.28.208.84 — AbuseIPDB · VT · ThreatFox
• CVEs : CVE-2026-109618 — NVD · CIRCL
• CVEs : CVE-2026-109619 — NVD · CIRCL
• Fichiers : exploit.py
• Chemins : /bin/sh
• Chemins : /pwn-

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 27 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• php2shell-bypass-aslr-exp (tool)
• StealMyBitcoin PoC (tool)

🟡 Indice de vérification factuelle : 60/100 (moyenne)

• ⬜ docs.velociraptor.app — source non référencée (0pts)
• ✅ 15000 chars — texte complet (fulltext extrait) (15pts)
• ✅ 9 IOCs (IPs/domaines/CVEs) (10pts)
• ✅ 3/3 IOCs confirmés (AbuseIPDB, ThreatFox, VirusTotal) (15pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ⬜ date RSS ou approximée (0pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 15.204.59.70 (ip) → VT (7/92 détections)
• 162.35.99.94 (ip) → AbuseIPDB (28% confiance, 6 signalements) + VT (6/92 détections)
• 144.48.4.242 (ip) → VT (3/92 détections)

🔗 Source originale : https://docs.velociraptor.app/exchange/artifacts/pages/php2shell/