RéponsesPublié20 sources
PHP2Shell : ce que les failles de PHP impliquent et comment réagir
Les vulnérabilités PHP2Shell CVE 2026 109618 et CVE 2026 109619 sont toutes deux notées 9,2 sur 10 et peuvent permettre une exécution de code à distance sans authentification. Les versions corrigées — PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — ont été publiées le 21 octobre 2026.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Les vulnérabilités PHP2Shell CVE 2026 109618 et CVE 2026 109619 sont toutes deux notées 9,2 sur 10 et peuvent permettre une exécution de code à distance sans authentification.
- Les versions corrigées — PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — ont été publiées le 21 octobre 2026.
- Amazon a repéré une tentative le 17 octobre; les millions de tentatives signalées ensuite ne constituent pas un décompte de sites compromis.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 severity ratings and potential fo. Article summary: PHP2Shell comprises two critical PHP memory-corruption vulnerabilities, CVE-2026-109618 and CVE-2026-109619, each rated 9.2 and capable of unauthenticated remote code execution; fixed releases were issued on October 21, . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Deux vulnérabilités critiques de PHP, baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant non authentifié d’exécuter du code sur un serveur web. Chacune est notée 9,2 sur 10 selon le CVSS. PHP a publié des versions corrigées le 21 octobre 2026, après la détection d’une tentative d’exploitation datée du 17 octobre. 4
5
Ce que font les failles PHP2Shell
Les deux vulnérabilités concernent la gestion de la mémoire lors du traitement des requêtes. PHP décrit la CVE-2026-109618 comme une corruption liée à un épuisement de mémoire pendant le nettoyage d’une requête. La CVE-2026-109619 concerne la réutilisation, par une requête ultérieure traitée par le même processus, d’un état interne qui aurait dû être libéré. Ces deux problèmes peuvent conduire à une exécution de code à distance. 4
10
Le risque concerne les installations PHP qui traitent des requêtes web, notamment celles utilisant PHP-FPM ou Apache avec mod_php, ainsi que d’autres configurations de serveurs web. 4
5 L’équipe de sécurité de PHP estime que le risque est particulièrement élevé avec mod_php.
7
Versions corrigées : quoi installer
Le 21 octobre 2026, PHP a publié les versions suivantes : 4
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les administrateurs doivent installer la version corrigée correspondant à leur branche PHP. Comme les failles touchent les installations qui traitent du trafic web, il faut vérifier tous les environnements concernés, et pas seulement la version du CMS ou du framework utilisé. 4
5
Selon des informations publiées, la divulgation prématurée de détails aurait avancé la publication des correctifs, initialement prévue le 22 octobre. Les éléments disponibles ne permettent pas d’établir exactement ce qui a été divulgué, par qui ni comment ces informations ont circulé. 3
20
Tentatives d’attaque : ce que l’on sait
Amazon Threat Intelligence a signalé une tentative d’exploitation observée dans son honeypot MadPot et datée du 17 octobre, soit quatre jours avant la divulgation publique et la publication des correctifs. L’adresse IP à l’origine de la tentative était associée à un service commercial d’anonymisation. Amazon indique toutefois ne pas savoir comment l’acteur a obtenu des informations sur les failles à l’avance.
Après la divulgation, Cloudflare a fait état de millions de tentatives d’exploitation. Il s’agit de tentatives détectées, et non d’un décompte de sites web dont la compromission aurait été confirmée. 18
19 De même, une tentative enregistrée par un honeypot prouve qu’une cible a été visée, mais ne démontre pas qu’un serveur de production a été compromis. Les informations disponibles ne précisent pas combien de systèmes de production, le cas échéant, ont été piratés.
46
Les mesures à prendre
- Installer la version corrigée de PHP sur chaque branche utilisée dans les environnements concernés.
4
- Examiner les journaux et l’activité depuis le 17 octobre. La détection précoce par le honeypot d’Amazon signifie qu’une vérification limitée à la date de publication des correctifs pourrait ne pas couvrir toute la période pertinente.
46
- Distinguer les tentatives d’exploitation d’une compromission avérée. Des tentatives nombreuses indiquent que la faille est ciblée, mais ne prouvent pas qu’un serveur donné a subi une exécution de code.
18
La réponse la plus claire consiste à corriger les installations PHP concernées et à examiner l’activité remontant au 17 octobre. Le volume élevé de tentatives justifie une réaction rapide, sans pour autant signifier que chaque serveur visé a été compromis.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : ce que les failles de PHP impliquent et comment réagir » ?
Les vulnérabilités PHP2Shell CVE 2026 109618 et CVE 2026 109619 sont toutes deux notées 9,2 sur 10 et peuvent permettre une exécution de code à distance sans authentification.
Quels sont les points clés à valider en premier ?
Les vulnérabilités PHP2Shell CVE 2026 109618 et CVE 2026 109619 sont toutes deux notées 9,2 sur 10 et peuvent permettre une exécution de code à distance sans authentification. Les versions corrigées — PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — ont été publiées le 21 octobre 2026.
Que dois-je faire ensuite en pratique ?
Amazon a repéré une tentative le 17 octobre; les millions de tentatives signalées ensuite ne constituent pas un décompte de sites compromis.
Sources
censys.comOct 21 Advisory: php2shell - PHP Unauthenticated Remote Code ...
csa.gov.sgCritical Vulnerabilities in PHP (PHP2Shell)