Un sceptique mise 500 $ en bitcoins comme appât et finit par le prouver lui-même : PHP2Shell est réellement exploitable

Il y a quelques semaines, deux vulnérabilités critiques dans PHP ont conduit une part importante des sites à se mettre hors ligne afin d’effectuer leurs mises à jour. Dès l’annonce, des « experts » ont affirmé que la situation n’était pas si grave et que l’exploitation dans le monde réel était presque impossible. Leur principal argument : personne n’avait publié d’exploit fonctionnel. L’un des sceptiques a décidé de vérifier cette affirmation en pratique.

Un appât de 500 $

L’auteur a créé un site, y a placé la clé privée d’un portefeuille bitcoin contenant 500 $, puis a publié le lien sur Hacker News avec ce défi : piratez-le et empochez l’argent. Pendant les premières heures, personne n’y est parvenu, et les commentateurs y ont évidemment vu la confirmation qu’ils avaient raison.

Mais les raisons étaient très prosaïques. Premièrement, le site a été submergé de trafic, s’est mis à tomber et de nombreuses requêtes sont restées sans réponse. Deuxièmement, le site lui-même n’était pas vulnérable. PHP y était bien installé et servait même la page d’accueil, mais sa configuration ne correspondait pas à celle visée par la vulnérabilité.

L’auteur a ajouté des ressources au serveur et réécrit le code, qui était trop simple et ne ressemblait pas à celui des sites habituels. La vulnérabilité a alors fonctionné et un pirate a obtenu la clé. Certes, l’auteur avait finalement indiqué la mauvaise clé, mais ce n’est plus qu’un détail.

L’aveu du sceptique

Dans son billet récapitulatif, il a écrit que son opinion était erronée : PHP2Shell reste une menace réelle et peut être exploitée. Il estime également que l’exploitation demeure difficile et qu’une personne sans expertise, armée uniquement d’un LLM, échouera très probablement.

Cette conclusion peut être contestée. La plupart des tentatives étaient probablement peu sérieuses : leurs auteurs ne dépensaient pas beaucoup de tokens et n’utilisaient pas les modèles les plus intelligents. De plus, ces modèles bloquent souvent les requêtes liées au piratage.

Il existe aussi des données. Un expert qui avait piraté OpenAI quelques mois auparavant indique que, dans ses tests, seuls Mythos et Sol-5.6 ont mené l’attaque à bien en 2 à 4 heures. Les modèles ouverts GLM-5.3 et Kimi K3.1 ont travaillé pendant plus de 20 heures sans réussir, et il doute que les modèles ouverts soient tout simplement capables d’accomplir cette tâche.

Cela répond également à une question fréquente : pourquoi n’entend-on pas parler de piratages venus de Chine ? Les Américains ne font-ils que créer du battage médiatique ? À en juger par ces tests, ce n’est pas une question de battage médiatique : les modèles disponibles là-bas ne disposent pas encore des capacités nécessaires pour une telle tâche.

Que faire en pratique

Premièrement, n’attendez pas la publication d’un exploit pour installer une mise à jour. Les démonstrations vidéo d’attaques contre des produits réels présentées lors de l’annonce constituent déjà une preuve suffisante. L’absence de code signifie seulement qu’il n’a pas été publié.

Deuxièmement, si vous vérifiez les affirmations d’autres personnes concernant une vulnérabilité, reproduisez la configuration de production plutôt qu’un environnement de test simplifié. La présence de PHP sur un serveur ne signifie pas encore que celui-ci est exposé au problème. C’est précisément l’erreur commise par le sceptique, et les défenseurs qui se croient en sécurité peuvent faire la même.

Troisièmement, évaluez les risques en tenant compte des capacités des modèles de pointe. Quelques heures de piratage avec un modèle puissant coûtent peu par rapport au coût d’une interruption de service. Des tests superficiels menés avec des modèles bon marché et un faible budget de tokens donnent un faux sentiment de sécurité.

Limites

Il s’agit de l’histoire d’une seule expérience et d’une seule série de tests. Les données sur les modèles proviennent d’un seul chercheur, et non d’un benchmark indépendant. L’exploitation exige toujours de l’expertise et des ressources. Mais la conclusion est simple : installez les mises à jour sans attendre une démonstration spectaculaire.