Des attaquants tentent de conscrire des serveurs PHP vulnérables dans « Potassium », un botnet dérivé de Mirai conçu pour des attaques par déni de service distribué (DDoS) — mais jusqu'à présent, la campagne peine à aboutir. Le code source de Mirai a été rendu public en 2016, et les botnets issus de cette souche ont mené certaines des plus grandes campagnes DDoS jamais enregistrées. The Hacker News a rapporté le 23 octobre qu'aucune compromission de serveur n'avait été confirmée, alors même que les tentatives d'exploitation se comptaient en centaines de milliers.

Les failles visées

La campagne se concentre sur deux vulnérabilités PHP, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur 10 en termes de gravité — un niveau qui les place pleinement dans la plage critique de l'échelle CVSS — et permettant toutes deux l'exécution de code à distance sans authentification, ce qui signifie qu'un attaquant n'a besoin d'aucun identifiant pour exécuter des commandes sur un serveur vulnérable. PHP a publié des correctifs le 21 octobre, mais à ce moment-là, les pirates avaient déjà commencé à lancer des attaques contre ces failles.

Des millions de sondages, aucune intrusion confirmée

Les chiffres montrent néanmoins l'ampleur des sondages menés par les attaquants. Imperva a enregistré 482 342 tentatives de requêtes dans 122 311 sessions visant 21 998 sites dans 103 pays sur une période de 24 heures. Parallèlement, Censys a signalé avoir détecté plus de 41 millions de services PHP exposés sur Internet exécutant des versions affectées, avec seulement environ 1 million d'instances exécutant des versions corrigées au 22 octobre — laissant l'immense majorité des serveurs exposés sans correctif une journée entière après leur publication. Les décomptes d'activité de scan ou d'exposition ne suffisent pas à prouver qu'une compromission réelle s'est produite.

Ce que Sophos a observé, puis retiré

Arctic Wolf rapporte que des tentatives d'exécution de commandes et des téléchargements de logiciels malveillants ont été attribués à Potassium. Une évaluation distincte menée dans un environnement bac à sable (sandbox) a révélé un autre échantillon qui a contacté thunder.godofthunder[.]st via l'IP 134.199.154[.]64 sur le port TCP 50792 et attaqué deux hébergements ukrainiens. Cela a démontré le potentiel du logiciel malveillant, mais pas que les attaquants ont percé des serveurs de production. Le 22 octobre, Sophos a retiré une annonce antérieure faisant état d'un succès, indiquant à The Record qu'elle n'avait observé que des tentatives d'attaques infructueuses.

24 commandes de flood et un interrupteur ENS dormant

Arctic Wolf a révélé que Potassium comprend 24 commandes de flood couvrant tous les types dICMP, TCP, UDP et OpenVPN. Les versions ARM et x86-64 du logiciel malveillant contiennent également une fonctionnalité de résolution Ethereum Name Service (ENS) — un système de nommage décentralisé qui fonctionne sur la blockchain Ethereum plutôt que dans la hiérarchie DNS traditionnelle — mais cette fonctionnalité est désactivée dans les deux cas. Ethereum et ENS n'ont pas été compromis. Toutefois, si elle était activée, la résolution ENS pourrait rendre plus difficile le blocage des serveurs de commande du botnet via les contrôles DNS et IP conventionnels.

PoC défectueux contre exploit privé fonctionnel

De nombreux exploits de preuve de concept (PoC) publics échouent face aux défenses de production, en particulier la randomisation de l'agencement de l'espace d'adressage (ASLR), une technique de durcissement qui randomise l'emplacement en mémoire du code et des données d'un programme afin que les exploits ne puissent pas cibler de manière fiable des adresses fixes. Spencer McIntyre de VulnCheck a décrit nombre des échantillons en circulation comme « garbage and nonfunctional » (« inefficaces et non fonctionnels »), selon les propos rapportés par The Record.

Cette protection n'est toutefois pas infaillible. VulnCheck a développé un exploit privé qui contourne l'ASLR sur une configuration de production de PHP 8.4.26, avant d'étendre la prise en charge à certaines versions 8.4 et 8.5. John Hultquist de Google a qualifié cette menace de « viable and very serious » (« viable et très sérieuse »), selon The Record.

Pourquoi un botnet DDoS inquiète les hébergeurs et les acteurs de la crypto

La menace plus large est déjà substantielle. Cloudflare a recensé 935 attaques DDoS dépassant 1 térabit par seconde au premier semestre 2026, selon son rapport sur les menaces. Ces attaques n'ont pas été attribuées à Potassium, mais elles illustrent les perturbations auxquelles sont confrontés les hébergeurs, les processeurs de paiement et les plateformes crypto. Aucune perte financière n'a été liée à PHP2Shell.

La nouvelle alerte de PHP et ce qu'il faut surveiller

Le 23 octobre, PHP a divulgué un autre problème, CVE-2026-115560, impliquant une configuration applicative inhabituelle. En attendant un correctif classique, il recommande de définir session.upload_progress.enabled=0, une directive de configuration qui désactive la fonctionnalité de progression des téléversements de PHP, laquelle sert également de mesure d'atténuation pour CVE-2026-109619.

Les administrateurs doivent installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, redémarrer les workers afin que les processus en cours appliquent réellement le code corrigé, et surveiller les téléchargements suspects. Le DISO de Cobalt, Andrew Obadiaru, a averti que la période d'accalmie actuelle équivaut à du « borrowed time » (« temps gagné à crédit »), selon les propos rapportés par The Record.