PHP2Shell : les deux failles PHP critiques qui ont forcé les gouvernements à déconnecter les sites publics

PHP2Shell est un surnom pour deux vulnérabilités du langage de programmation PHP lui-même, et non dans un site web ou une application spécifique. Elles sont suivies sous CVE-2026-109618 et CVE-2026-109619, et l'équipe de sécurité du PHP lui-même a classé les deux 9.2 sur 10 sur l'échelle CVSS v4.0, son niveau 'critique', selon la page d'archives officielle de 2026 du projet PHP.

Ce que les deux failles font réellement

Selon l'avis de sécurité du projet PHP, CVE-2026-109618 est déclenchée lorsque PHP manque de mémoire tout en traitant une demande web. L'erreur de mémoire insuffisante peut interrompre PHP avant que les données de demande interne ne soient complètement configurées, et le processus de nettoyage qui suit peut alors traiter ces données incomplètes comme valides, ce qui peut entraîner une corruption de la mémoire et une exécution de code à distance.

CVE-2026-109619 est décrite par PHP comme un bug d'état global obsolète : les données liées à la demande d'un visiteur peuvent rester dans la mémoire d'un serveur après qu'elles auraient dû être effacées, et la prochaine demande de visiteur traitée par le même processus de travail peut finir par agir sur ces restes. La société de sécurité watchTowr, qui gère un réseau mondial de systèmes de surveillance, a déclaré que les deux bugs permettent à un attaquant d'exécuter du code sans connexion requise, avant même que le code du site lui-même ne commence à s'exécuter.

La société de sécurité néerlandaise Sansec a ajouté des précisions techniques supplémentaires, déclarant que l'une des voies d'exploitation passe par la fonctionnalité de progression de téléchargement de session de PHP et peut exposer des données telles que les mots de passe, les clés API et les clés de chiffrement qui se trouvaient cassuellement dans la mémoire d'un serveur provenant d'autres demandes sans rapport.

Pourquoi autant de sites web ont été exposés

Les bugs se trouvent à l'intérieur du moteur PHP, donc tout site web ou application construit avec PHP est potentiellement exposé, indépendamment du système de contenu qui fonctionne dessus. Cela inclut les plates-formes largement utilisées telles que WordPress, Drupal, Joomla, Magento et Nextcloud, selon Sansec. PHP reste l'un des langages de programmation côté serveur les plus utilisés sur le web, ce qui est l'une des raisons pour lesquelles les failles ont été traitées comme posant un risque large et à grande échelle.

Les chercheurs en sécurité de Wiz ont identifié les failles, et Help Net Security a rapporté que les chercheurs ont déclaré que les avancées dans les outils d'IA frontière avaient considérablement abaissé la barrière technique pour transformer un problème de gestion de la mémoire connu depuis longtemps et difficile à exploiter en un exploit fonctionnel.

Pourquoi les gouvernements ont déconnecté les sites

Les détails techniques des failles ont fui avant que le correctif officiel de PHP ne soit prêt, éliminant l'avance habituelle que les défenseurs obtiennent avant qu'une correction ne soit rendue publique. Le blog de sécurité Safeguard a rapporté que le 21 octobre 2026, les Pays-Bas ont désactivé les services incluant le site du propre centre national de cybersécurité, Overheid.nl, le site de la Chambre des représentants et plusieurs sites d'hôpitaux et de partis politiques à titre préventif. Le fournisseur informatique d'État Valtori de Finlande a mis les services du réseau gouvernemental hors ligne à titre préventif, et la société informatique municipale Kombit du Danemark a arrêté plusieurs services incluant une plate-forme de communication scolaire nationale. Le ministère de l'Intérieur français a temporairement désactivé les sites de préfecture et d'administration locale, affirmant qu'il attendait l'application du correctif PHP. Le fournisseur informatique fédéral allemand ITZBund et le ministère belge des Affaires étrangères ont également mis les sites hors ligne, bien que Safeguard ait rapporté qu'ils avaient donné des raisons différentes : ITZBund a déclaré qu'il n'avait connaissance d'aucun incident de sécurité, tandis que le ministère belge des Affaires étrangères a cité des rapports d'attaques.

watchTowr a déclaré que son réseau de honeypots, Attacker Eye, a enregistré des tentatives d'exploitation dans le monde réel à partir du 21 octobre 2026, un jour après la fuite et le même jour où PHP a publié son correctif.

Les deux failles comparées

Comment protéger votre site et vos données

1. Si vous exécutez un site web sur PHP : mettez à jour vers une version corrigée — PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 — et redémarrez tous les processus de travail PHP après, car l'avis de PHP et runZero soulignent que la mise à jour est le seul correctif complet.
2. Si vous êtes toujours sur PHP 7.4, 8.0 ou 8.1, qui ne reçoivent plus les mises à jour officielles, obtenez un correctif de sécurité rétroporté de votre distribution Linux ou de votre fournisseur d'hébergement, car le projet PHP lui-même a cessé de maintenir ces branches, selon la page d'archives PHP.
3. Jusqu'à ce que vous puissiez appliquer le correctif, runZero recommande des étapes intermédiaires au niveau du serveur ou du proxy : limitez les limites de mémoire pour que les applications ne puissent pas les contourner, appliquez des limites basses de taille de demande et de téléchargement multiplex, et désactivez la fonctionnalité de progression de téléchargement de session.
4. Vérifiez vos journaux d'accès du serveur web pour les demandes POST multipart/form-data inhabituelles, que Sansec affirme être courantes dans les tentatives d'exploitation connues, et observez les pics de mémoire PHP inattendus ou les erreurs fatales.
5. En tant qu'utilisateur d'Internet quotidien, vous ne pouvez pas appliquer de correctifs aux serveurs que vous ne contrôlez pas, mais vous pouvez surveiller les notifications de violation des services que vous utilisez, utiliser un mot de passe unique pour chaque compte, et activer l'authentification à deux facteurs afin qu'un mot de passe divulgué ne soit pas suffisant pour accéder à vos comptes.

Ce qui reste encore peu clair

Selon les rapports examinés, il y avait désaccord entre les experts sur la façon dont l'exploitation active était déjà généralisée au moment où plusieurs gouvernements ont décidé de mettre les sites hors ligne ; Safeguard a rapporté que le gouvernement néerlandais a déclaré qu'il n'avait pas de signes d'exploitation active lorsqu'il a agi, tandis que watchTowr a confirmé séparément des tentatives d'attaque réelles contre ses honeypots le lendemain.