PHP2Shell : exécution de code à distance critique dans PHP – corriger maintenant

PHP2Shell : vulnérabilités critiques d'exécution de code à distance dans PHP (CVE-2026-109618 et CVE-2026-109619)

Le 20 octobre 2026, la communauté de sécurité PHP a divulgué publiquement PHP2Shell, une paire de vulnérabilités à fort impact suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619. Toutes deux affectent les versions de PHP de 5.4 à 8.5.11 et permettent une exécution de code à distance non authentifiée. Les mainteneurs de PHP ont évalué le problème à 9,2 sur 10 selon CVSS v4.0, ce qui le place dans le niveau critique. Comme PHP sous-tend environ 70 à 80 % des sites web dans le monde, la divulgation a des conséquences immédiates pour les fournisseurs d'hébergement, les agences, les opérateurs de commerce en ligne et toute personne exploitant un site basé sur PHP.

Ce que font réellement les deux CVE

CVE-2026-109618 est un défaut de gestion de la mémoire épuisée. Lorsque PHP rencontre une condition de mémoire épuisée, il utilise longjmp pour interrompre la requête en cours. Certains chemins d'exécution ne tiennent pas compte de cette sortie abrupte, de sorte que la mémoire de la requête reste partiellement initialisée. Lors du nettoyage, le moteur traite cette mémoire invalide comme des données valides. Un attaquant peut alors influencer le flux d'exécution et exécuter du code arbitraire sur le serveur.

CVE-2026-109619 est un défaut d'état global obsolète. PHP conserve des variables globales qui pointent temporairement vers la mémoire de la requête. Dans certaines situations, cet état global n'est pas réinitialisé correctement ou est repeuplé après avoir été libéré. Il référence alors des blocs de mémoire qui n'appartiennent plus aux requêtes actives. Des opérations ultérieures lisent cet état obsolète ou s'y ramifient avant qu'il ne soit correctement initialisé, ce qui ouvre à nouveau la porte à l'exécution de code à distance.

En termes simples, PHP est le moteur qui construit et exécute la plupart des sites web dynamiques. Ces bogues ressemblent à un défaut dans la façon dont le moteur gère son espace de travail et se débarrasse des données temporaires. Un tiers peut envoyer une requête spécialement conçue qui submerge ou confond la gestion de la mémoire du moteur. Lorsque le moteur trébuche, l'attaquant peut transformer cette confusion en commandes exécutées sur le serveur web, sans aucun identifiant ni mot de passe.

Pourquoi le risque est urgent

Un attaquant qui réussit obtient l'exécution de code avec les privilèges du compte de travail du serveur web. Cet accès peut servir à installer une charge utile malveillante, à déguiser des scripts malveillants en fichiers ordinaires du site, à réduire l'activité web, à montrer un trafic différent selon les utilisateurs, à espionner les données de carte saisies lors du paiement ou à demander aux visiteurs de vérifier une commande afin d'installer un logiciel malveillant. Beaucoup de ces actions sont invisibles pour les utilisateurs normaux et même pour les administrateurs du site. Le site peut sembler sain alors qu'il sert discrètement du contenu malveillant ou qu'il fuit des données.

Des tentatives d'exploitation ont été détectées dans la nature avant que les correctifs ne soient pleinement disponibles. Cela fait de PHP2Shell un incident à corriger immédiatement, et non une tâche de maintenance routinière. Chaque heure de retard augmente la probabilité qu'un outil d'analyse automatisé trouve une installation exposée.

Versions corrigées et marche à suivre

Les mainteneurs de PHP ont publié des mises à jour d'urgence le 21 octobre 2026 pour les branches prises en charge. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Des correctifs du code source ont également été publiés pour PHP 7.4, 8.0 et 8.1, mais ces branches sont en fin de vie et aucun binaire officiel mis à jour n'a été fourni. Les sites qui les utilisent encore doivent passer immédiatement à une version prise en charge ou faire appel à un fournisseur de support à long terme réputé.

PHP2Shell : versions corrigées

Les administrateurs doivent mettre PHP à jour, redémarrer PHP-FPM ou les processus de travail concernés et confirmer que la version en cours d'exécution correspond à la version corrigée. Si vous gérez un site sans être l'administrateur du serveur, contactez dès maintenant votre fournisseur d'hébergement ou votre administrateur et demandez une vérification PHP2Shell. Une vérification rapide doit couvrir la version de PHP, la configuration du serveur web, les modifications récentes de fichiers, les tâches planifiées inattendues et les connexions sortantes. N'attendez pas les symptômes visibles : un site PHP infecté peut rester pleinement fonctionnel pendant qu'un attaquant opère à l'intérieur.

Pour les équipes techniques, la priorité est de corriger tous les environnements d'exécution PHP, y compris les conteneurs, les environnements de préproduction et les sous-domaines oubliés. Examinez les journaux à la recherche de requêtes POST inhabituelles, d'erreurs liées à la mémoire et de processus enfants inattendus. Effectuez une rotation des secrets si une compromission est suspectée. Pour les lecteurs non techniques, le message est simple : demandez à votre administrateur de vérifier la version de PHP et d'appliquer la mise à jour d'urgence. PHP2Shell est critique, public et activement dangereux.

Si vous exploitez une boutique en ligne, un blog ou un portail client, traitez cela comme un incident de sécurité jusqu'à ce que votre version de PHP soit confirmée comme corrigée. Demandez une confirmation écrite de la version et de l'heure de redémarrage. Conservez les sauvegardes hors ligne, surveillez les comptes administrateur inattendus et vérifiez les pages de paiement pour détecter des changements. Le coût d'une mise à jour rapide est faible comparé au coût du vol de données de carte, de la défiguration ou d'une campagne de distribution de logiciels malveillants.