Vulnérabilité · Mondial · octobre 2026

PHP2Shell : exécution de code à distance critique dans PHP (CVE-2026-109618, CVE-2026-109619)

Deux failles critiques d'exécution de code à distance sans authentification dans PHP ont entraîné des correctifs d'urgence et des avertissements conjoints de l'ENISA, du CERT-EU, du FBI et de la NSA.

Incident

Ce qui s’est passé

Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité d'urgence (PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35) corrigeant deux vulnérabilités critiques notées CVSS 9,2, regroupées sous le nom PHP2Shell.

CVE-2026-109618 permet l'exécution de code à distance par corruption de mémoire lors du traitement d'une insuffisance de mémoire ; CVE-2026-109619 est une faille use-after-free liée à un état obsolète. Les deux peuvent être déclenchées par des requêtes non authentifiées avant l'exécution du code applicatif, avec un risque maximal sous Apache avec mod_php.

L'ENISA, la Commission européenne, le CERT-EU, Europol EC3 et le réseau des CSIRT de l'UE ont publié une déclaration conjointe appelant à une application immédiate des correctifs, tandis que le FBI et la NSA publiaient des avertissements parallèles. Des chercheurs en sécurité ont observé des activités de reconnaissance et de sondage des applications PHP quelques heures après la divulgation.

Analyse

Enseignements tirés

Les systèmes PHP exposés à Internet doivent être corrigés immédiatement ; lorsque la correction n'est pas possible, isolez les applications exposées des réseaux publics jusqu'à ce que les correctifs soient appliqués et vérifiés.

PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet PHP ; les versions non prises en charge doivent donc être mises à niveau ou couvertes par des rétroportages des éditeurs.

De nombreux produits commerciaux et open source intègrent PHP en arrière-plan ; un inventaire logiciel précis est nécessaire pour identifier les systèmes affectés qui ne semblent pas utiliser PHP directement.

Prévention

Apports des tests d’intrusion

Les tests d'intrusion des applications web et des réseaux identifient les services PHP exposés, les versions d'exécution obsolètes et les composants vulnérables, et vérifient que les mesures de correction et d'isolement sont réellement efficaces.

Voir le service associé Demander une évaluation

Sources

Synthèse fondée sur des informations accessibles au public. DIGITPOL n’a pas été impliqué dans cet incident.