RéponsesPublié22 sources
PHP2Shell : l’alerte de sécurité qui a précipité les mises à jour de PHP
Les failles PHP2Shell, CVE 2026 109618 et CVE 2026 109619, pouvaient permettre l’exécution de code à distance sans authentification. Calif a découvert les vulnérabilités avec l’aide de l’initiative Patch the Planet d’OpenAI ; Wiz les a également repérées indépendamment.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Les failles PHP2Shell, CVE 2026 109618 et CVE 2026 109619, pouvaient permettre l’exécution de code à distance sans authentification.
- Calif a découvert les vulnérabilités avec l’aide de l’initiative Patch the Planet d’OpenAI ; Wiz les a également repérées indépendamment.
- Après une divulgation anticipée le 20 octobre, PHP a publié ses correctifs d’urgence le 21, un jour avant la date prévue.
- Des tentatives d’exploitation avant la divulgation ont été rapportées, mais les éléments disponibles ne démontrent pas une vague de compromissions réussies à grande échelle.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
Les vulnérabilités PHP2Shell ont provoqué une course aux correctifs en octobre 2026 : deux failles du cœur de PHP pouvaient permettre à un attaquant d’exécuter du code à distance sans s’authentifier. Après la fuite de détails le 20 octobre, les correctifs ont été publiés dès le lendemain, au lieu du 22 comme prévu. 6
13
L’épisode a exigé une réaction rapide des équipes qui exploitent des sites ou des services en PHP. Mais il faut distinguer l’ampleur de l’exposition potentielle des compromissions avérées : les sources disponibles documentent l’urgence et des tentatives d’exploitation, pas une série de piratages réussis à grande échelle.
Des failles critiques découvertes avec l’aide de l’IA
Les deux vulnérabilités, désignées CVE-2026-109618 et CVE-2026-109619, ont été repérées en août par Calif dans le cadre de l’initiative Patch the Planet d’OpenAI. Wiz les a aussi identifiées de manière indépendante. Les comptes rendus disponibles associent à ces recherches GPT-5.6 Sol, Wiz Atlas et Gemini 4 Argon. 4
5
6
Les failles touchent le fonctionnement interne de PHP : la CVE-2026-109618 est liée à une corruption de mémoire lors d’une erreur de mémoire insuffisante ; la CVE-2026-109619, à un état global obsolète. Toutes deux peuvent conduire à l’exécution de code à distance. 15 Elles ont été notées 9,2 sur l’échelle CVSS v4.0, qui sert à évaluer la gravité des vulnérabilités.
14
Correctifs avancés après une divulgation anticipée
Les vulnérabilités ont été rendues publiques le 20 octobre, avant la date de publication prévue. PHP a donc diffusé ses mises à jour d’urgence le 21 octobre, à 14 h UTC selon Forrester. 4
6
15
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet PHP a demandé aux responsables de toutes les installations qui traitent des requêtes web de mettre à jour leurs systèmes. 3
Les branches concernées remontent à PHP 5.4, tandis que certaines bases de données décrivent plus largement une portée à partir de PHP 5. 3
7 Les correctifs officiels annoncés couvrent les branches 8.2 à 8.5. Les versions plus anciennes, dont PHP 8.1 et antérieures, ne reçoivent plus les mises à jour de sécurité régulières du projet ; des distributeurs ou prestataires peuvent toutefois proposer leurs propres correctifs rétroportés.
Des systèmes potentiellement exposés, pas nécessairement compromis
PHP serait utilisé par environ 70 % du Web, selon une estimation rapportée par TechTarget. Le même article cite Palo Alto Networks, qui a recensé plus de 22,6 millions d’instances exposées susceptibles d’être vulnérables. Ce sont des estimations d’exposition, et non un décompte d’intrusions confirmées. 8
Amazon Threat Intelligence a par ailleurs signalé une tentative d’exploitation observée le 17 octobre dans les données de son honeypot MadPot, quatre jours avant la divulgation publique. D’autres tentatives ont également été rapportées après la publication. Une tentative détectée ne prouve cependant pas que l’attaque a abouti. 4
6
Les évaluations de l’exploitation à grande échelle sont restées prudentes : Sansec a indiqué le 22 octobre qu’une exploitation massive lui paraissait moins probable que prévu le jour de la sortie des correctifs. 14 Les sources ne permettent donc pas de conclure à des compromissions généralisées.
Face au risque, la NSA a recommandé de recenser les services dépendant de PHP et de donner la priorité aux correctifs des fournisseurs. La CISA a également appelé à une mise à jour immédiate, tandis que Google, AWS et Microsoft ont publié des conseils pour leurs clients. 1
6
8
Une alerte complémentaire le 23 octobre
Le 23 octobre, PHP a signalé une autre vulnérabilité, CVE-2026-115560, qui pourrait ouvrir une voie d’exécution de code à distance dans une combinaison inhabituelle de réglages de session. En attendant une prochaine version corrective régulière, le projet a recommandé de définir session.upload_progress.enabled=0. Cette précaution ne concerne pas toutes les configurations : PHP indique que les applications qui ne modifient jamais le gestionnaire de sérialisation à l’exécution peuvent laisser cette fonction activée. 9
16
Le principal enseignement opérationnel reste simple : identifier les installations PHP concernées, vérifier la version utilisée et appliquer le correctif adapté. Le nombre élevé de systèmes potentiellement exposés justifie l’urgence, mais ne signifie pas que chacun d’eux a été piraté. 1
6
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : l’alerte de sécurité qui a précipité les mises à jour de PHP » ?
Les failles PHP2Shell, CVE 2026 109618 et CVE 2026 109619, pouvaient permettre l’exécution de code à distance sans authentification.
Quels sont les points clés à valider en premier ?
Les failles PHP2Shell, CVE 2026 109618 et CVE 2026 109619, pouvaient permettre l’exécution de code à distance sans authentification. Calif a découvert les vulnérabilités avec l’aide de l’initiative Patch the Planet d’OpenAI ; Wiz les a également repérées indépendamment.
Que dois-je faire ensuite en pratique ?
Après une divulgation anticipée le 20 octobre, PHP a publié ses correctifs d’urgence le 21, un jour avant la date prévue.
Sources
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure
cynet.comPHP2Shell Vulnerability Update (CVE-2026-109618 & CVE-2026-109619)
hackthebox.comPHP Core “PHP2Shell” RCE (CVE-2026-109618 ...
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws