- Les vulnérabilités « php2shell » permettent une exécution de code à distance non authentifiée ; les correctifs sont publiés pour les branches PHP 8.x supportées et les distributions Linux.
Ce qu’il faut savoir
Deux vulnérabilités critiques affectant le langage PHP ont été divulguées le 21 octobre 2026. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, elles sont surnommées « php2shell ». Selon l'équipe de sécurité de PHP, les deux failles obtiennent un score CVSS 4.0 de 9,2, ce qui les place au niveau de gravité CRITIQUE. Elles permettent à un attaquant non authentifié, disposant seulement d'un accès réseau à l'application web, d'exécuter du code arbitraire avec les privilèges du processus PHP sur le système cible. Toute application PHP est concernée, quel que soit le framework ou le CMS utilisé (WordPress, Drupal, Joomla, Laravel, Magento, etc.).
Calendrier de divulgation et fuite
Initialement, la divulgation coordonnée était prévue pour le 22 octobre 2026 à 14:00 UTC. Cependant, une fuite survenue le 20 octobre — un message anonyme sur Hacker News mentionnant « 2x PHP RCE CVEs with CVSS 10.0 Incoming » — a contraint l'équipe PHP à avancer la publication au 21 octobre à 14:00 UTC. Le même jour, le CERT-UE a publié un avis (2026-018) mentionnant les deux CVE. Des chercheurs comme watchTowr ont confirmé avoir reproduit l'une des failles en laboratoire, et une vidéo démontrant la chaîne d'exploitation a été partagée par Kirill Firsov, créditant les chercheurs LCFR et Calif.io.
Correctifs disponibles
PHP a publié les versions d'urgence 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches en fin de vie (EOL) ne recevront pas de correctifs officiels. Ubuntu a déployé les correctifs pour toutes ses versions supportées (26.10, 26.04 LTS, 24.04 LTS, 22.04 LTS) ; pour Ubuntu 20.04 LTS et antérieures, il faut un abonnement Ubuntu Pro (gratuit jusqu'à 5 machines) via le service Expanded Security Maintenance (ESM). Les autres distributions Linux devraient proposer des correctifs rétroportés ; il est recommandé de consulter les avis de chaque éditeur.
Étendue de l'exposition
Selon la télémétrie de Palo Alto Networks Cortex Xpanse, plus de 22,6 millions d'instances exposées sur Internet seraient potentiellement vulnérables. Des estimations indépendantes (Shodan, W3Techs) font état de 1,3 à 1,9 million d'hôtes accessibles publiquement exécutant PHP. Au moins un gouvernement européen a mis son site web hors ligne par précaution. Cloudflare a indiqué observer « des attaques précoces émergentes » et a déployé des règles WAF initiales pour tous ses clients, y compris les gratuits, tout en soulignant qu'il s'agit d'une mesure temporaire en attendant l'application des correctifs.
Mesures d'atténuation et recommandations
L'application des correctifs PHP reste la seule défense complète. Pour les serveurs utilisant Apache avec mod_php, un redémarrage du démon Apache (ou un redémarrage système) est nécessaire après la mise à jour. Les organisations doivent évaluer leur exposition, appliquer les mises à jour sans délai et surveiller les signes de compromission. Des preuves de concept (PoC) circulent publiquement, mais leur efficacité réelle contre les CVE n'a pas été vérifiée de manière indépendante ; elles sont destinées à des tests en environnement contrôlé uniquement.
9 sources
Cette synthèse rapproche plusieurs sources et est présentée dans la langue de cette édition. Langue source : EN.