PHP2Shell : deux failles critiques de PHP et comment agir

Ce qui a été publié et pourquoi agir

Mise à jour du 22 octobre 2026. PHP a publié le 21 octobre des correctifs pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, appelées PHP2Shell. Le problème concerne le moteur servant les requêtes web, pas seulement une extension de CMS. Une exploitation peut permettre l’exécution de code sans authentification sur un serveur vulnérable. Il faut agir rapidement, sans en déduire qu’un site particulier est déjà compromis.

L’avis officiel comprend PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. PHP juge le risque maximal avec mod_php et décrit une exploitation démontrée avant le code applicatif. Petite taille du site, absence de connexion ou extensions à jour ne suffisent donc pas. Identifiez le PHP servant réellement les requêtes et sa correction. L’exposition dépend de version, fournisseur et configuration ; cet article ne détermine pas l’état d’un serveur individuel.

Les deux failles et les versions corrigées

CVE-2026-109618 concerne une corruption mémoire pendant le traitement d’un manque de mémoire. CVE-2026-109619 concerne un état interne survivant à sa mémoire puis réutilisé par une autre requête du même worker. La PHP Foundation explique les problèmes et leur correction. Cette distinction évite une recette de configuration supposée universelle. Nul besoin de reproduire une attaque pour décider de mettre à jour ; aucun test d’exploitation public ni commande de panne volontaire n’est proposé ici.

Les versions corrigées publiées le 21 octobre sont 8.5.12,8.4.27,8.3.36 et 8.2.35. Consultez l’avis actuel avant intervention, des révisions ultérieures pouvant arriver. Une distribution peut rétroporter le correctif sans ces numéros de base ; Ubuntu indique ses paquets dans USN-8948-1. Vérifiez le paquet et l’avis fournisseur, pas uniquement une chaîne de version. PHP 8.1 et antérieurs n’ont plus le support du projet ; un correctif distributeur ne rétablit pas ce support.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

Que demander à l’hébergeur et vérifier après mise à jour

En hébergement géré, demandez confirmation des deux CVE, du paquet installé, du service concerné et des processus actifs corrigés. Incluez domaines, pools, conteneurs et produits embarquant PHP, pas seulement le terminal principal. Une version en ligne de commande ne prouve pas celle du site. Administrateur, utilisez le canal documenté du fournisseur ou de la distribution, avec accès de récupération et sauvegarde adaptée. Évitez les prétendus correctifs de messages ou dépôts non vérifiés.

Renouvelez ensuite les processus selon le fournisseur et contrôlez version ou paquet actif. Testez les fonctions essentielles et consignez la date. Mettre à jour seulement le CMS ou vider le cache ne remplace pas le runtime corrigé. Face à des indices d’intrusion, préservez les preuves et déclenchez la réponse à incident : le correctif n’annule pas les modifications d’un attaquant. Ces vérifications de clôture ne sont pas un diagnostic distant. Une page d’accueil revenue ne suffit pas sans confirmation technique et validation fonctionnelle.

Sans correctif immédiat et limites de WikiURL

PHP précise que seule la mise à jour constitue une solution complète. Les mesures temporaires réduisent certaines voies sans sécuriser l’installation. Ne copiez pas de réglages mémoire ou session sans comprendre effets et portée. ENISA recommande la priorité aux systèmes exposés et envisage leur isolation des réseaux publics si nécessaire. Coordonnez l’accès de gestion sécurisé et la communication d’interruption. Une règle WAF ou une application fonctionnelle ne remplace pas le correctif et ne garantit pas une protection complète.

Le vérificateur WikiURL aide à consulter réponse HTTP et destination publique après maintenance, pas à identifier le PHP réel ou certifier ces CVE corrigées. Un 200 ou cadenas HTTPS n’est pas une évaluation de vulnérabilités. Ne transmettez pas de secrets et ne publiez pas phpinfo pour prouver le traitement. Gardez séparément confirmation fournisseur, contrôle des processus et tests du service. Il faut agir urgemment et vérifier, sans affirmer une intrusion sans preuves ni être rassuré par une page simplement accessible.