Deux Failles Critiques de PHP Surnommées "PHP2Shell" Exposent la Majeure Partie du Web

Le 21 octobre 2026, le projet PHP a publié des versions corrigées du langage après que les chercheurs en sécurité ont divulgué deux vulnérabilités critiques d'exécution de code à distance collectivement surnommées "PHP2Shell". Les failles, suivies sous les noms CVE-2026-109618 et CVE-2026-109619, ont été découvertes par l'entreprise de sécurité cloud Wiz Research, qui a crédité les organisations Calif et OpenAI pour leur contribution à la découverte, la coordination et la vérification des correctifs, selon le communiqué public de Wiz.

Ce que font les deux vulnérabilités

Wiz affirme que les deux CVE regroupent en réalité quatre bugs distincts sous-jacents. CVE-2026-109618 couvre une faille d'utilisation après libération dans le désérialiseur de progression de téléchargement de session de PHP, qui peut être exploitée pour l'exécution de code à distance, plus un bug connexe qui peut fuir la mémoire d'un processus de travail PHP en cours d'exécution sans authentification. CVE-2026-109619 couvre une utilisation après libération dans la gestion de la trace d'erreur fatale de PHP et une faille de confusion de type distincte dans OPcache, le cache de bytecode en mémoire partagée de PHP.

Selon Wiz, les deux problèmes se trouvent dans les chemins de code que presque chaque requête PHP traverse : gestion de la mémoire et gestion des erreurs. La Fondation PHP a fait le même point dans des commentaires rapportés par le média SecurityWeek.

Chronologie de la découverte

L'équipe de recherche de Wiz — nommée dans leur billet de blog comme Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz — dit avoir trouvé le premier bug le 19 août 2026 et confirmé des exploits fonctionnels d'exécution de code à distance contre des installations WordPress et Drupal les deux jours suivants. L'équipe a signalé ses découvertes à l'équipe de sécurité PHP le 24 août 2026. La divulgation publique et les correctifs correspondants ont suivi le 21 octobre 2026.

Wiz affirme avoir utilisé des modèles de codage IA, notamment Gemini 4 Argon de Google et GPT-5.6 Sol d'OpenAI, pour aider à construire des exploits de preuve de concept, décrivant un travail qui aurait précédemment pris des mois aux chercheurs spécialisés comme réalisable en heures.

Qui est affecté

Wiz affirme que les failles sous-jacentes existent dans chaque version de PHP publiée au cours de la dernière décennie environ, avec au moins l'une des deux CVE présente à partir de PHP 5.4 et ultérieures. L'entreprise affirme avoir confirmé l'exécution de code à distance non authentifiée contre les versions actuelles de trois systèmes de gestion de contenu largement utilisés : WordPress, Drupal et Joomla. SecurityWeek rapporte que les bugs affectent les méthodes de déploiement courantes de PHP, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.

Wiz encadre l'ampleur de l'exposition comme affectant environ 70 % d'Internet, une référence à la part des sites web qui fonctionnent sur PHP sous une forme ou une autre, selon le communiqué de l'entreprise.

Tentatives d'exploitation depuis la divulgation

Plusieurs entreprises de sécurité ont surveillé le trafic d'attaque autour de la divulgation. SecurityWeek rapporte que l'entreprise watchTowr a détecté les premières tentatives d'exploitation à l'état sauvage vers le moment où les correctifs ont été déployés, mais n'avait pas confirmé de compromission réussie. Hadrian a dit à SecurityWeek qu'il avait observé des tentatives d'exploitation à grande échelle avant même que les correctifs ne soient publiés, concentrées sur le chemin de code de progression de téléchargement de session de PHP. Patchstack, Cloudflare et Vega ont enregistré des tentatives le jour de la divulgation, et Amazon a déclaré qu'il avait identifié des tentatives d'exploitation quatre jours avant que les correctifs ne soient distribués.

Pourquoi l'ampleur de PHP rend cela significatif

PHP a été créé par le programmeur danois-canadien Rasmus Lerdorf, d'abord publié en 1995, et reste l'un des langages de script côté serveur les plus largement utilisés pour construire des sites web, selon Wikipedia. La même source note que depuis novembre 2025, plus de la moitié des sites web alimentés par PHP exécutaient toujours la branche PHP 7 non supportée, et environ 9,7 % étaient toujours sur PHP 5, qui a été abandonné il y a des années — un modèle de logiciel hérité que les chercheurs en sécurité disent complique le correctif rapide dans tout l'écosystème PHP plus large.