RéponsesPublié23 sources
PHP2Shell : les failles PHP notées 9,2 et les mesures à prendre
PHP2Shell désigne deux vulnérabilités critiques de PHP, toutes deux notées 9,2 selon CVSS v4.0, qui peuvent permettre l’exécution de code à distance sans authentification. Les failles concernent la gestion d’une erreur de mémoire et un état interne périmé.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- PHP2Shell désigne deux vulnérabilités critiques de PHP, toutes deux notées 9,2 selon CVSS v4.0, qui peuvent permettre l’exécution de code à distance sans authentification.
- Les failles concernent la gestion d’une erreur de mémoire et un état interne périmé.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell est le nom donné à deux vulnérabilités critiques du moteur de PHP : CVE-2026-109618 et CVE-2026-109619. Toutes deux sont notées 9,2 — Critique selon CVSS v4.0 et peuvent permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable. Le projet PHP a publié des correctifs d’urgence le 21 octobre 2026. 
Pour les équipes qui administrent des sites ou des serveurs, la priorité est de mettre PHP à jour. Des tentatives d’exploitation ont été signalées — notamment une observation dans un honeypot d’Amazon avant la divulgation publique —, mais cela ne prouve pas qu’un serveur de production ait été compromis. 36
Ce que font les deux failles PHP2Shell
Les deux vulnérabilités reposent sur des mécanismes différents, selon les informations publiées :
- CVE-2026-109618 concerne la gestion d’un manque de mémoire. Lors d’une erreur de mémoire insuffisante, PHP peut interrompre le traitement alors que certaines données internes de la requête ne sont pas encore entièrement initialisées. Pendant le nettoyage, des données invalides risquent alors d’être interprétées comme valides.
58
- CVE-2026-109619 concerne un état interne périmé. Les informations disponibles décrivent un état lié à une requête qui subsiste après la libération de la mémoire qui le contenait : il s’agit d’un problème dit « use-after-free », ou d’utilisation de mémoire après libération.
9
Ces failles touchent le traitement, par PHP, de requêtes HTTP spécialement conçues, notamment les données de formulaire au format multipart, souvent utilisées pour envoyer des fichiers. 1
Pourquoi la note est de 9,2 — et ce qu’elle ne dit pas
Les deux vulnérabilités affichent une note de 9,2 sur 10, niveau Critique, selon CVSS v4.0. La possibilité d’exécuter du code à distance sans authentification est un élément majeur du risque : un attaquant n’a pas besoin de se connecter pour tenter d’exécuter du code sur un serveur concerné.
Les sources disponibles ne donnent pas les vecteurs CVSS complets. Elles ne permettent donc pas d’expliquer précisément comment chaque critère de calcul aboutit à 9,2. Cette note mesure la gravité de la faille ; elle ne dit pas à elle seule quelle est la probabilité qu’un serveur donné soit attaqué, ni si une tentative observée a réussi.
Versions concernées et correctifs à installer
Selon les informations publiées, les versions vulnérables remontent à PHP 5.4. 55 Pour les branches PHP 8.x, les versions d’urgence qui corrigent les failles sont les suivantes :
| Branche PHP | Version corrigée |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Ces versions sont sorties le 21 octobre 2026. Installez la version corrigée correspondant à votre branche, ou une version ultérieure de cette même branche.
Les correctifs indiqués couvrent les branches 8.2 à 8.5. Si votre système utilise une branche plus ancienne ou qui n’est plus prise en charge, consultez les consignes de votre distributeur PHP ou de votre fournisseur de système d’exploitation. Ne partez pas du principe qu’une des versions listées peut s’appliquer directement à votre installation.
Divulgation et exploitation : une tentative n’est pas une intrusion confirmée
Les failles ont été rendues publiques le 20 octobre, avant une divulgation prévue le 22 octobre. PHP a publié les correctifs d’urgence le 21 octobre. 8
42 Les sources confirment cette divulgation prématurée et l’avancement de la publication des correctifs, mais ne permettent pas d’établir qu’une vidéo de démonstration publiée par erreur par Calif en ait été le déclencheur.
Amazon Threat Intelligence indique avoir repéré une tentative d’exploitation de PHP2Shell dans les données de télémétrie de son honeypot MadPot, datée du 17 octobre — quatre jours avant la divulgation publique. Amazon a également indiqué avoir identifié des preuves de concept d’exploitation autour de la publication des correctifs, le 21 octobre. La télémétrie d’un honeypot concerne une machine leurre : elle ne confirme pas une compromission dans une organisation réelle.
Cloudflare a indiqué avoir déployé des protections autour de la divulgation, et des comptes rendus publiés à la même période font état de trafic ou de tentatives d’attaque observés par des entreprises de sécurité. 55
35 Les informations sur l’ampleur et le succès des attaques ne concordaient pas : certains fournisseurs ont évoqué une exploitation active ou à grande échelle, tandis que d’autres articles publiés à la même période relevaient que des organismes publics n’avaient pas confirmé d’attaques réussies.
33
36
Les éléments disponibles justifient de prendre les tentatives au sérieux, mais pas de présenter chaque tentative signalée comme une intrusion réussie, ni d’affirmer que les attaques étaient généralisées. Pour évaluer l’exposition ou analyser des alertes, il est important de distinguer ces situations.
Que faire en attendant l’application du correctif
La mesure principale consiste à installer une version corrigée de PHP. Selon AWS, la mise à niveau est la seule solution complète. Si l’application immédiate du correctif est impossible, des mesures temporaires de réduction de l’exposition peuvent notamment consister à bloquer les envois de fichiers multipart ; elles ne remplacent pas la mise à jour.
Le Centre canadien pour la cybersécurité a publié une alerte critique décrivant les vulnérabilités et le risque d’exécution de code sans authentification. 2 Les sources disponibles rapportent également que la NSA a recommandé de mettre hors ligne les systèmes qui ne peuvent pas être mis à jour immédiatement.
27 Pour votre environnement, suivez les avis applicables des fournisseurs et des autorités, en particulier si PHP est intégré à un produit ou géré par un hébergeur.
En pratique : repérez toutes les installations de PHP, appliquez le correctif correspondant et examinez les alertes avec discernement. La gravité de PHP2Shell appelle une réaction rapide — mais une tentative, un exploit fonctionnel et une compromission avérée en production sont trois choses différentes.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : les failles PHP notées 9,2 et les mesures à prendre » ?
PHP2Shell désigne deux vulnérabilités critiques de PHP, toutes deux notées 9,2 selon CVSS v4.0, qui peuvent permettre l’exécution de code à distance sans authentification.
Quels sont les points clés à valider en premier ?
PHP2Shell désigne deux vulnérabilités critiques de PHP, toutes deux notées 9,2 selon CVSS v4.0, qui peuvent permettre l’exécution de code à distance sans authentification. Les failles concernent la gestion d’une erreur de mémoire et un état interne périmé.