Des failles critiques de PHP forcent les sites gouvernementaux hors ligne avant un patch d'urgence

L'équipe de développement de PHP a programmé une version de sécurité hors cycle pour 14:00 UTC le 21 octobre 2026 afin de corriger deux vulnérabilités critiques après que les détails aient été divulgués en ligne un jour plus tôt, selon The Hacker News et la société de sécurité Sansec. Les failles ont été suivies sous les références CVE-2026-109618 et CVE-2026-109619 et ont été informellement surnommées "PHP2Shell" par les chercheurs, un nom que l'équipe de PHP elle-même n'a pas adopté, selon The Hacker News.

Quelles sont les vulnérabilités

Selon le document technique de Sansec, CVE-2026-109618 est un bogue use-after-free dans la gestion de la progression du téléchargement de PHP qui peut fuir la mémoire du serveur — incluant les mots de passe, les jetons de session et les clés privées TLS — via le cookie PHPSESSID, d'une manière que l'entreprise a comparée au bogue Heartbleed de 2014. CVE-2026-109619 est un use-after-free distinct déclenché lorsqu'une erreur fatale se produit lors de l'épuisement de la mémoire, combiné avec une confusion de type dans OPcache de PHP, ce que Sansec a déclaré permet l'exécution de code à distance. Les deux bogues sont atteints via des requêtes multipart/form-data, le format que les pages web utilisent pour les téléchargements de fichiers.

Le Centre national de cybersécurité (NCSC) du Royaume-Uni a décrit le risque dans son avis du 21 octobre comme permettant à un attaquant "d'exécuter des commandes sur n'importe quel serveur web exécutant PHP" sans avoir besoin de se connecter, et a classé le problème comme critique.

Pourquoi les gouvernements et les plateformes se sont mis hors ligne

Parce que PHP sous-tend une grande part du web, plusieurs organisations ont choisi de fermer les sites publics plutôt que d'attendre le correctif. Techzine a signalé que les services gouvernementaux néerlandais, notamment MijnOverheid, DigiD et les systèmes parlementaires, ont été temporairement mis hors ligne, et l'histoire d'agence de presse diffusée par KSL a déclaré que les agences de cybersécurité des Pays-Bas et de la Finlande ont retiré les sites gouvernementaux par mesure de précaution. Techzine a également signalé que le NCSC britannique et l'Agence américaine de sécurité de la cybersécurité et des infrastructures (CISA) ont émis des alertes exhortant les administrateurs à appliquer des correctifs ou à désactiver les systèmes affectés, tandis que Wikipedia et Meta ont continué à fonctionner en appliquant des runtimes PHP modifiés et des règles de pare-feu d'application web au lieu de s'arrêter.

Sansec a rapporté que le développeur principal de PHP Gina Peter Banyard a décrit le fait de mettre les serveurs hors ligne avant l'arrivée du correctif comme l'option la plus sensée pour les organisations incapables d'appliquer une correction immédiatement — conseil que plusieurs organismes néerlandais ont suivi.

Cloudflare a déclaré qu'elle avait commencé à observer des tentatives d'exploitation avant la sortie du correctif officiel. Selon le rapport KSL, le directeur de la technologie de Cloudflare a déclaré que l'entreprise observait les premières attaques et mettait continuellement à jour ses atténuations à mesure que de nouvelles méthodes d'attaque apparaissaient, décrivant la protection de Cloudflare comme une mesure temporaire d'attente jusqu'à l'arrivée du correctif officiel de PHP. Sansec a séparément signalé que Cloudflare a détecté les attaques à partir de 07:43 UTC le 21 octobre, environ six heures avant la correction prévue de PHP.

• WordPress, Drupal, Joomla et Magento, les systèmes de gestion de contenu et de commerce électronique construits sur PHP
• Les versions spécifiques nommées par Sansec comme confirmées vulnérables : Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 et Symfony 8.1
• Les plateformes d'hébergement partagé et les panneaux de contrôle qui incluent PHP, selon l'avis du NCSC
• Les services gouvernementaux néerlandais DigiD et MijnOverheid, selon Techzine

Échelle d'exposition : les estimations varient

Ce qui est connu et ce qui ne l'est pas

L'équipe de PHP a confirmé que PHP 8.2, 8.3, 8.4 et 8.5 recevraient des corrections officielles — attendues en tant que versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon The Hacker News — tandis que les branches en fin de vie 8.1 et antérieures ne seraient pas corrigées par le fournisseur. Sansec a cependant déclaré que le code défectueux sous-jacent remonte à PHP 5.4.0, ce qui signifie que de nombreuses installations plus anciennes non prises en charge resteraient probablement vulnérables sans correction officielle disponible. Selon The Hacker News, aucun exploit de preuve de concept public n'était disponible à partir de son rapport du 21 octobre, et les failles n'avaient pas été ajoutées au catalogue des Vulnérabilités exploitées connues de la CISA à ce moment-là — bien que la déclaration ultérieure de Cloudflare ait indiqué que les tentatives d'attaque étaient déjà en cours.

Contexte : comment les failles ont été découvertes

La chronologie de Sansec retrace le premier bogue à une recherche qui a commencé le 1er août 2026, par un chercheur utilisant le pseudonyme "Calif" travaillant avec OpenAI, qui l'a signalé à l'équipe de sécurité de PHP le 11 août. Un deuxième rapport connexe est venu de l'équipe Wiz Research — nommée par Sansec comme Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz — le 24 août. Sansec a déclaré que les deux équipes de recherche ont attribué aux modèles d'IA le fait d'accélérer le travail de recherche et d'adaptation des exploits sur les versions de PHP, avec un chercheur qui aurait atteint l'exploitation fonctionnelle en environ une semaine. Les détails de la divulgation coordonnée sous embargo ont été divulgués publiquement le 20 octobre, incitant PHP à avancer son annonce et à fixer la sortie du correctif du 21 octobre.