PHP2Shell : deux failles critiques dans PHP, ce qu'il faut faire maintenant

Cybersécurité 28 octobre 2026 2 min de lecturePar l'équipe 2SC-TECH

Le 21 octobre 2026, PHP a publié des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619, deux failles d'exécution de code à distance déjà exploitées. Une troisième faille reste sans correctif.

La semaine dernière a été marquée par la divulgation de deux vulnérabilités critiques au cœur du moteur PHP, surnommées PHP2Shell. Elles permettent à un attaquant non authentifié d'exécuter du code à distance sur un serveur web, simplement en lui envoyant des requêtes HTTP spécialement construites. Comme elles se situent dans PHP lui-même, un code applicatif bien écrit ne suffit pas à s'en protéger.

Les deux failles en bref

• CVE-2026-109618 (score CVSS v4 : 9,2) : une erreur dans la gestion des dépassements de mémoire, déclenchable par des requêtes multipart malveillantes.
• CVE-2026-109619 (score CVSS v4 : 9,2) : une utilisation de mémoire libérée (use-after-free) liée à un état conservé entre deux requêtes, notamment via le suivi de progression des envois de session, activé par défaut.

Les serveurs Apache avec mod_php sont les plus exposés, mais PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont aussi concernés. Selon les analyses publiées, un attaquant peut également lire la mémoire des processus PHP et y récupérer des mots de passe, des jetons ou des clés.

Une exploitation déjà en cours

Des tentatives d'exploitation ont été observées dès le 21 octobre, jour de la publication des correctifs. Le 26 octobre, l'agence américaine CISA a ajouté les deux failles à son catalogue des vulnérabilités activement exploitées. Par précaution, plusieurs organisations ont coupé temporairement des services en ligne le temps de les mettre à jour, notamment des services publics aux Pays-Bas.

Ce qu'il faut faire maintenant

1. Mettre à jour PHP vers les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou vers un paquet de votre distribution Linux qui mentionne les deux CVE, puis redémarrer Apache, PHP-FPM et tous les processus PHP. Mettre à jour WordPress ou une autre application ne met pas à jour PHP.
2. Planifier la migration des versions anciennes : PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour officielles régulières, et PHP 8.2 arrive en fin de vie le 31 décembre 2026.
3. En attendant le correctif, appliquer les mesures temporaires recommandées par les éditeurs : désactiver session.upload_progress.enabled dans la configuration du serveur, limiter la taille des requêtes (post_max_size) et, sur PHP 8.5, désactiver fatal_error_backtraces. Ces mesures réduisent le risque mais ne remplacent pas la mise à jour.
4. Rechercher des signes de compromission : requêtes multipart inhabituelles suivies d'erreurs de mémoire, erreurs HTTP 500 répétées, cookies PHPSESSID anormalement longs, redémarrages inexpliqués des processus PHP.

Une troisième faille encore sans correctif

Le 23 octobre, PHP a signalé une autre vulnérabilité, CVE-2026-115560, liée à la sérialisation des sessions et au suivi de progression des envois. Elle n'est pas corrigée par les versions du 21 octobre. Elle ne touche que certaines configurations, mais la protection est simple : désactiver session.upload_progress.enabled au niveau du serveur, puis redémarrer les processus PHP.

Comment 2SC-TECH peut vous aider

Nos équipes cybersécurité peuvent inventorier vos serveurs PHP, appliquer les correctifs et les mesures temporaires, puis vérifier l'absence de compromission. Contactez-nous pour une intervention rapide, à distance ou sur site.

Expertise associée : Cybersécurité