« PHP2Shell » : PHP publie des correctifs d'urgence pour deux failles critiques (CVSS 9,2) permettant l'exécution de code à distance sans authentification

Pourquoi c'est important

C'est l'une des vulnérabilités web les plus graves de ces dernières années. PHP fait tourner une part considérable des sites web mondiaux (WordPress, Drupal, Joomla), et cette fois la faille se situe dans le moteur du langage lui-même — même un site parfaitement codé n'offre aucune protection. L'attaquant n'a besoin d'aucun compte : une seule requête peut suffire à exécuter du code sur le serveur.

C'est aussi l'illustration la plus nette à ce jour du double rôle de l'IA dans la recherche en sécurité : selon Wiz, ces failles sommeillaient depuis des décennies et la démonstration de leur exploitabilité exigeait une chaîne « à la limite de ce que des chercheurs humains pouvaient pratiquement accomplir ». Les modèles d'IA de pointe ont considérablement abaissé cette barrière.

Lire l'article

L'équipe de sécurité de PHP a publié le 21 octobre des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 au CVSS v4.0 et surnommées collectivement PHP2Shell. Les deux découlent d'un état mémoire corrompu lorsqu'une requête se termine anormalement, et peuvent être exploitées par des attaquants non authentifiés pour exécuter du code à distance.

Toute installation PHP servant des requêtes web est concernée : PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. L'équipe estime le risque maximal pour mod_php, où un exploit démontré se déclenche avant même l'exécution du code applicatif. L'une des failles permet même de lire la mémoire des processus contenant les mots de passe, jetons et clés API d'autres requêtes.

Les failles ont été découvertes par des chercheurs de Wiz, Calif, OpenAI (partenaire de son programme Patch the Planet) et Quarkslab. Les détails techniques ont fuité le 20 octobre avant la divulgation coordonnée, poussant PHP à publier un jour plus tôt. Cloudflare affirme avoir observé du trafic d'attaque avant la sortie du correctif et a activé ses règles WAF le 21 octobre. Plusieurs sites néerlandais et japonais (dont le service néerlandais DigiD et le site de la Chambre des représentants) se sont mis hors ligne par précaution.

Les administrateurs sont invités à passer immédiatement à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ; PHP 7 et versions antérieures ne reçoivent plus de mises à jour officielles.