PHP a publié des mises à jour de sécurité d'urgence pour deux vulnérabilités critiques qui pourraient permettre à des attaquants d'exécuter du code malveillant sur un serveur web sans s'authentifier.

Les failles, référencées CVE-2026-109618 et CVE-2026-109619 et surnommées conjointement PHP2Shell, résident dans PHP lui-même — le langage de programmation derrière des sites web et applications tels que WordPress, Drupal et Joomla. Chacune obtient une note de 9,2 sur 10 sur le Common Vulnerability Scoring System (CVSS), ce qui les classe toutes deux comme critiques.

Qu'est-ce que PHP2Shell ?

PHP s'exécute sur un serveur web, où il traite les requêtes des visiteurs, extrait des informations des bases de données, traite les formulaires et génère les pages. Selon la société de sécurité Qualys, PHP2Shell se compose de deux bugs dans la manière dont le langage gère la mémoire et l'état d'une requête web. Les vulnérabilités se trouvent dans PHP lui-même, et non dans WordPress, Drupal ou Joomla.

WordPress a indiqué dans une publication sur X que les failles affectent tout serveur hébergeant une application PHP et qu'aucune mise à jour de WordPress n'est requise ni prévue. Étant donné que chaque application d'un serveur repose sur le même runtime, un PHP corrigé comble la brèche pour toutes — et un seul runtime non corrigé les expose toutes, aussi à jour que soient leurs applications et extensions.

La première faille, CVE-2026-109618, apparaît lorsque PHP manque de mémoire en cours de requête et laisse des données à moitiéisées. La seconde, CVE-2026-109619, se produit lorsque PHP continue de pointer vers des données de requête après que la mémoire associée a été libérée.

Wiz, l'une des sociétés ayant signalé les bugs, a déclaré avoir démontré des attaques exécutant du code sur des sites WordPress et Drupal sans connexion préalable. La société a ajouté qu'une des failles peut également divulguer la mémoire d'un processus PHP en cours d'exécution. L'attaquant n'a besoin d'aucun compte, et ce qui suit dépend de la configuration du serveur et des permissions détenues par le processus PHP compromis.

Qui est exposé ?

PHP a indiqué dans son annonce que toute installation servant des requêtes web est à risque, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet a précisé que le risque est le plus élevé pour le mod_php d'Apache, notant qu'un exploit démontré permet à une requête non authentifiée de déclencher l'attaque avant l'exécution de tout code applicatif — autrement dit, le déclencheur ne dépend d'aucune faiblesse dans le code du site hébergé lui-même.\nWiz a indiqué que les versions affectées remontent à PHP 5.4 — une période englobant des serveurs hérités longtemps en service. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour du projet, bien que PHP fournisse des rétroportages sources minimes pour 7.4, 8.0 et 8.1 à ceux qui compilent depuis les sources ou n'ont pas de support d'un éditeur.

PHP a également indiqué que la branche 8.2 cessera de recevoir des correctifs de sécurité à la fin de l'année, et que les utilisateurs de cette branche devraient donc planifier une mise à niveau. Certaines distributions Linux et certains éditeurs peuvent rétroporter les correctifs vers des versions plus anciennes ; les administrateurs devraient consulter leurs avis de sécurité et, à défaut, planifier un passage vers une version prise en charge. Les produits, conteneurs et panneaux d'hébergement intégrant leur propre PHP nécessitent des mises à jour distinctes.

Selon la société de sécurité Huntress, les détails des failles ont fuité en ligne un jour avant la divulgation prévue. PHP a avancé la publication et publié les correctifs le 21 octobre.

Sansec, une autre société de sécurité, a déclaré s'attendre à une exploitation massive désormais que les correctifs et les analyses techniques sont publics. Elle a noté que Cloudflare a déjà signalé des attaques précoces. Les détails techniques étant publics et des attaques déjà enregistrées, les tentatives d'exploitation visant les serveurs qui n'ont pas encore été mis à jour constituent la priorité immédiate à surveiller pour les défenseurs.\n## Comment réagir

Mettre à jour WordPress, Drupal, Joomla ou une extension ne corrigera pas une faille de PHP lui-même. Les administrateurs peuvent prendre les mesures suivantes :

Mettre à jour PHP. Installer une version corrigée via le gestionnaire de paquets, puis vérifier que le serveur web l'utilise. Les utilisateurs de WordPress peuvent voir leur version sous Outils > Santé du site > Informations > Serveur, et de nombreux hébergeurs l'affichent également dans leur panneau de contrôle.

Vérifier chaque installation. Examiner les conteneurs, les panneaux de contrôle et toute application intégrant son propre PHP.

Contacter votre hébergeur. En hébergement mutualisé, PHP peut échapper au contrôle de l'opérateur. Demander au fournisseur s'il a appliqué les correctifs, sans le présumer. WordPress a indiqué que les hébergeurs corrigeaient peut-être déjà et ajoutaient des règles de pare-feu, mais recommande tout de même de vérifier auprès de l'hébergeur.

Surveiller votre dépôt. Sansec a averti que le dépôt de Remi, courant sur les serveurs PHP, ne contenait pas le correctif le jour de la publication, et conseille d'utiliser les paquets de sa distribution ou de compiler depuis les sources.

Utiliser les mesures d'atténuation uniquement en dépannage temporaire. PHP a indiqué qu'il n'existe aucune atténuation complète et que la mise à jour est la seule option sûre. Des mesures telles que la limitation de la taille des requêtes ou la désactivation du suivi des téléversements ne rendent pas une installation sûre.

Vérifier toute compromission. Rechercher des processus inattendus lancés par PHP, des fichiers inconnus et des connexions sortantes anormales. Un correctif ne supprimera pas les malwares déjà implantés.

Les visiteurs ordinaires ne peuvent pas corriger ces failles, car elles résident sur des serveurs plutôt que sur des téléphones ou des ordinateurs portables. Cela ne signifie pas que chaque site web PHP a été piraté, mais la mise à jour vers une version corrigée est la seule solution complète.