PHP2Shell : Deux Vulnérabilités Critiques de PHP Provoquent des Arrêts Mondiaux de Sites Web

PHP, le langage de script qui exécute une grande partie du code côté serveur du web, a été touché par deux vulnérabilités critiques de sécurité divulguées en octobre 2026. Collectivement surnommées « PHP2Shell » et référencées sous les codes CVE-2026-109618 et CVE-2026-109619, ces bugs permettent à un attaquant sans compte ni mot de passe d'exécuter du code arbitraire sur un serveur web affecté.

Ce que font les vulnérabilités

Selon la société de sécurité watchTowr, CVE-2026-109618 se produit lorsque PHP manque de mémoire lors de la configuration d'une requête entrante, laissant les données de requête interne seulement partiellement initialisées ; la routine de nettoyage de PHP traite alors à tort ces données invalides comme valides. CVE-2026-109619 implique que l'état interne lié à une requête persiste après que la mémoire à laquelle elle pointe ait déjà été libérée, de sorte qu'une requête ultérieure traitée par le même processus worker peut utiliser cet état obsolète avant que l'initialisation normale le réinitialise.

La société de recherche Wiz, qui a examiné les vulnérabilités, a déclaré à Help Net Security que ces problèmes avaient échappé à l'attention pendant des années et se classent parmi les plus graves jamais découvertes dans le langage. Au-delà de l'exécution de code à distance complète, watchTowr a déclaré que les bugs peuvent également bloquer les processus workers de PHP, permettre des lectures de fichiers arbitraires ou fuir la mémoire du serveur.

Qui l'a découvert et quand

Les deux vulnérabilités ont été signalées par le biais d'efforts de recherche distincts. L'avis de WatchTowr crédite l'équipe de recherche en sécurité chez Calif avec la découverte, tandis que la couverture de Help Net Security attribue l'identification et la divulgation aux chercheurs de Wiz. La chronologie de la divulgation était inhabituelle : les détails censés rester sous embargo ont été divulgués publiquement le 20 octobre 2026, et watchTowr a confirmé que les informations divulguées étaient authentiques. Les responsables de PHP ont réagi en publiant des correctifs un jour avant la date initialement prévue du 22 octobre, à 14h00 UTC le 21 octobre 2026.

Portée : qui exécute PHP vulnérable

PHP reste l'un des langages côté serveur les plus largement utilisés sur le web, et les vulnérabilités peuvent affecter toute configuration qui traite les requêtes HTTP entrantes via celui-ci. Les configurations affectées incluent PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, selon watchTowr, ce qui signifie que le bug se situe dans la couche serveur elle-même plutôt que dans une application particulière.

Parce que PHP 7.4, 8.0 et 8.1 ne sont plus officiellement supportés, watchTowr dit qu'il n'y a pas de correctif du projet noyau PHP pour les sites fonctionnant toujours sur ces branches, bien que les backports de distributeur Linux ou de fournisseur de support à long terme puissent être disponibles comme option intermédiaire ; sinon ces installations doivent passer à une branche supportée. PHP 7.3 et antérieur n'ont aucun correctif, selon watchTowr. L'avis de PHP indique qu'aucune modification de configuration ne ferme complètement les vulnérabilités sans mise à jour du logiciel.

Impact et exploitation

Help Net Security a rapporté qu'un réseau de honeypot exécuté par Amazon a détecté des tentatives d'exploitation le 17 octobre 2026, quatre jours avant le correctif public, suggérant que certains attaquants avaient un accès anticipé aux détails d'exploitation. WatchTowr a déclaré que son propre réseau de honeypot « Attacker Eye » a observé une exploitation active en cours après la publication du correctif du 21 octobre. Les systèmes de gestion de contenu construits sur PHP, notamment WordPress, Drupal et Joomla, ainsi que les applications basées sur Laravel et les plateformes de commerce électronique, sont tous dans la portée affectée car ils s'exécutent sur le moteur PHP vulnérable.

À mesure que l'application des correctifs progressait, les agences gouvernementales, les forums en ligne, les plateformes de jeux et certains sites liés à l'infrastructure ont été mis hors ligne par précaution tandis que les opérateurs appliquaient les correctifs, selon la couverture résumée dans l'entrée Wikipedia PHP2Shell. Le Centre national de cybersécurité du Royaume-Uni a exhorté les organisations qui n'ont pas pu appliquer les correctifs immédiatement à mettre les systèmes vulnérables hors ligne à la place, a rapporté Help Net Security.

Évaluation de la gravité et ce que les opérateurs de site doivent faire

Les propres développeurs de PHP ont évalué les deux vulnérabilités à 9,2 sur 10 selon l'échelle CVSS v4.0, un score « critique », selon l'avis de watchTowr. Le chemin de remédiation clair, selon l'avis de PHP et watchTowr, est la mise à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon la branche qu'exécute un serveur ; les sites sur 7.4, 8.0 ou 8.1 doivent utiliser un backport de distributeur ou passer à une branche supportée, tandis que les serveurs sur 7.3 ou antérieur n'ont aucune correction disponible et doivent être mis à niveau.