RéponsesPublié22 sources
PHP2Shell : quelles versions de PHP faut-il mettre à jour ?
PHP2Shell regroupe deux failles de PHP, notées 9,2 sur 10, qui pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable. Après la diffusion anticipée des identifiants CVE, PHP a publié ses correctifs le 21 octobre 2026.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- PHP2Shell regroupe deux failles de PHP, notées 9,2 sur 10, qui pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable.
- Après la diffusion anticipée des identifiants CVE, PHP a publié ses correctifs le 21 octobre 2026.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell est le nom donné à deux vulnérabilités critiques de PHP : CVE-2026-109618 et CVE-2026-109619. Toutes deux ont reçu la note de 9,2 sur 10 selon CVSS v4.0 et pourraient permettre à un attaquant distant, sans authentification, d’exécuter du code sur un serveur vulnérable. PHP a publié des correctifs le 21 octobre 2026, après la diffusion d’informations avant la date de divulgation prévue. Des tentatives d’exploitation ont été signalées peu après, mais une tentative ne prouve pas qu’un serveur a été compromis. 1
3
14
Ce que font les deux failles PHP2Shell
Les vulnérabilités concernent le traitement des requêtes et la gestion de la mémoire dans PHP, et non un framework de site particulier. CVE-2026-109618 porte sur un défaut de gestion d’un manque de mémoire ; CVE-2026-109619 concerne un état interne périmé. Le risque rapporté est l’exécution de code à distance sans authentification. 1
14
La version de PHP utilisée compte donc, même si le code de l’application ne présente aucune faille connue. Les recommandations opérationnelles indiquent que les installations PHP qui traitent des requêtes web sont concernées. 55
Versions de PHP corrigées
Les versions corrigées ont été publiées le 21 octobre 2026 :
Les systèmes qui utilisent une version antérieure dans l’une de ces branches doivent être mis à jour vers la version corrigée correspondante. La publication a été avancée après que des détails sur les failles ont circulé avant la divulgation prévue. 3
13
33
Des identifiants CVE diffusés avant la divulgation
Le 20 octobre, une publication sur Hacker News a mentionné les deux identifiants CVE et indiqué que les détails devaient être rendus publics le 22 octobre. La publication a ensuite été supprimée, mais des captures d’écran ont circulé. Des chercheurs en sécurité ont confirmé que les informations étaient réelles et que les failles faisaient l’objet d’un embargo. 3
Selon les articles disponibles, Calif a identifié une faille avec l’aide d’un modèle d’OpenAI. Wiz a également découvert et signalé les vulnérabilités de manière indépendante, dans le cadre de la réponse coordonnée. Les informations disponibles ne permettent pas d’établir que ces failles remontent à une vingtaine d’années, ni d’attribuer chaque CVE à une équipe précise. 27
33
Services mis hors ligne par précaution et consignes de sécurité
Certaines organisations ont temporairement mis des services hors ligne par précaution pendant qu’elles évaluaient le risque. Parmi les services cités dans les articles figurent ceux associés au ministère des Finances du Japon, à BambooHR, au port de Rotterdam et à Wikimedia. Ces interruptions ne prouvent pas, à elles seules, que ces organisations ont été piratées. 19
L’agence américaine CISA a appelé les organisations qui exploitent des sites web sous PHP à appliquer immédiatement les correctifs. 33 Les informations fournies ne permettent pas de connaître le nombre total de services mis hors ligne par précaution ni de confirmer toutes les affirmations concernant des hôpitaux, des écoles ou des services gouvernementaux touchés.
Ce que montrent les signalements d’exploitation
Les rapports font état d’activité avant et après la divulgation publique :
- Amazon a indiqué que son honeypot MadPot avait détecté une tentative d’exploitation le 17 octobre, avant la publication des correctifs. Une observation sur un honeypot prouve une tentative contre ce capteur, pas une compromission réussie ailleurs.
50
58
- Cloudflare a signalé des milliers de tentatives au cours des dix heures précédant l’annonce publique, puis des millions après celle-ci. Ces chiffres décrivent l’activité observée sur son réseau, et non le nombre de serveurs effectivement compromis.
36
- Au moment de son alerte, la CISA disait ne pas avoir observé d’exploitation. Cette déclaration reflète les observations disponibles à cette date ; elle n’annule pas les tentatives signalées par des entreprises de sécurité disposant d’autres sources de télémétrie.
- Sophos a corrigé une première annonce faisant état d’exploitations réussies chez ses clients. L’entreprise a précisé que ses données montraient des balayages et un petit nombre de tentatives infructueuses, sans preuve de compromission dans ses environnements au moment de cette mise à jour.
7
Dans l’ensemble, ces signalements justifient de traiter PHP2Shell comme une urgence : des tentatives ont été observées et les conséquences potentielles sont graves. Ils ne prouvent toutefois ni que chaque tentative a réussi, ni combien de systèmes ont été compromis au total.
Ce que les informations disponibles ne permettent pas d’affirmer
Les articles fournis ne donnent pas de décompte fiable des serveurs vulnérables accessibles depuis Internet, ne confirment pas que les failles existaient depuis une vingtaine d’années et n’établissent pas que des attaquants ont utilisé l’IA pour concevoir leurs exploits. Une aide de l’IA a été rapportée dans le processus de découverte ; cela ne constitue pas une preuve sur la manière dont les attaquants ont repéré ou exploité les vulnérabilités. 27
33
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : quelles versions de PHP faut-il mettre à jour ? » ?
PHP2Shell regroupe deux failles de PHP, notées 9,2 sur 10, qui pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable.
Quels sont les points clés à valider en premier ?
PHP2Shell regroupe deux failles de PHP, notées 9,2 sur 10, qui pourraient permettre à un attaquant non authentifié d’exécuter du code sur un serveur vulnérable. Après la diffusion anticipée des identifiants CVE, PHP a publié ses correctifs le 21 octobre 2026.