SentinelOne · 21 octobre 2026 · Cyber & GRC
PHP2SHELL : SentinelOne détaille sa protection contre les activités post-exploitation
SentinelOne décrit deux vulnérabilités critiques de PHP permettant à un attaquant non authentifié d’exécuter du code ou de lire la mémoire du processus serveur. Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent ces failles. La mise à jour reste la protection principale, tandis que l’agent SentinelOne détecte les activités post-exploitation des attaquants.
Ce qui est annoncé
SentinelOne détaille les capacités de détection de sa plateforme face aux activités qui suivent une exploitation de PHP2Shell. Cette famille de vulnérabilités touche la gestion de la mémoire et des erreurs de PHP, indépendamment des applications hébergées. Elle peut permettre à un attaquant non authentifié d’exécuter du code sur le serveur web ou de lire des données sensibles en mémoire. Des correctifs PHP sont disponibles, et l’éditeur rappelle que leur déploiement reste indispensable.
Sur les hôtes supervisés, l’agent Singularity™ et les contenus de détection de Singularity AI SIEM recherchent notamment des commandes shell, des webshells, des téléchargements de charges malveillantes et des connexions sortantes liés à une compromission. Purple AI® peut également servir à rechercher ces comportements pendant le déploiement des correctifs. Cette couverture comporte une limite importante : la lecture de mémoire sans exécution de code ne génère pas de comportement de processus à détecter. Pour ce cas, SentinelOne s’appuie sur les télémétries des serveurs web, des WAF et des CDN transmises à AI SIEM.
Ce que ça change pour les entreprises
Pour les DSI, la priorité est de retrouver tous les environnements PHP concernés, y compris ceux intégrés à des logiciels ou équipements tiers. Mettre à jour une application ne corrige pas nécessairement le moteur PHP sous-jacent. Le traitement implique aussi le redémarrage des processus après correction. Les branches en fin de vie nécessitent une attention particulière, faute de nouvelle version corrective officielle.
La surveillance des activités post-exploitation constitue donc un complément au correctif, pas un substitut. Les équipes IT doivent aussi tenir compte du risque de fuite silencieuse de secrets : l’absence d’alerte sur une exécution suspecte ne suffit pas à écarter une exposition. Le rapport recommande notamment de renouveler les identifiants, jetons et clés susceptibles d’avoir été présents en mémoire sur les systèmes exposés non corrigés.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage de l’inventaire PHP, la priorisation des corrections et l’intégration des sources de télémétrie utiles. Cet accompagnement peut aussi couvrir la sécurisation des environnements et l’appropriation des procédures de surveillance par les équipes IT.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce SentinelOne du 21 octobre 2026.