RéponsesPublié24 sources
PHP2Shell : ce qu’il faut savoir sur les failles et les correctifs
PHP2Shell regroupe deux failles d’exécution de code à distance sans authentification, notées 9,2 sur l’échelle CVSS 4.0. Les versions correctives sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- PHP2Shell regroupe deux failles d’exécution de code à distance sans authentification, notées 9,2 sur l’échelle CVSS 4.0.
- Les versions correctives sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Il faut recenser les installations PHP et appliquer les correctifs du fournisseur.
- Des tentatives d’exploitation ont été signalées, mais une tentative ne constitue pas la preuve d’une intrusion réussie.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell est le nom donné à deux vulnérabilités critiques du traitement des requêtes dans PHP : CVE-2026-109618 et CVE-2026-109619. Elles peuvent permettre à un attaquant sans authentification d’exécuter du code sur un serveur concerné. Le projet PHP a publié des correctifs d’urgence le 21 octobre 2026, après que l’existence des failles a été rendue publique avant la date prévue. Des tentatives d’attaque ont été rapportées, mais elles ne suffisent pas, à elles seules, à établir qu’un système a été compromis. 4
6
15
Ce que permettent les failles PHP2Shell
Les deux vulnérabilités touchent PHP lui-même, et non une application ou un site en particulier. Les avis de sécurité indiquent que PHP 5.4 et les versions ultérieures sont concernés ; des requêtes spécialement conçues peuvent déclencher les failles sur des systèmes qui traitent du trafic web. 8
14
Leurs causes techniques diffèrent : CVE-2026-109618 est liée à une corruption de mémoire provoquée par une situation de mémoire insuffisante, tandis que CVE-2026-109619 concerne un état global obsolète. Les deux failles ont reçu une note CVSS 4.0 de 9,2, soit le niveau « critique ». 4
15
PHP est largement utilisé, mais les sources disponibles ne permettent pas d’établir un pourcentage fiable des sites concernés. Les estimations de prévalence ne reposent pas toujours sur le même dénominateur : un chiffre général ne doit donc pas être interprété comme le nombre de sites vulnérables. Pour les équipes qui administrent des systèmes, la question essentielle est de savoir si une installation PHP traitant des requêtes web n’a pas encore été mise à jour. 3
14
Divulgation, recherche assistée par IA et correctifs
L’existence des failles a été rendue publique le 20 octobre, soit un jour avant la publication des correctifs d’urgence par PHP et avant la divulgation prévue le 22 octobre. 6
7
16
Dans son compte rendu, Cloudflare a cité Calif, Wiz, OpenAI et Quarkslab. Des articles publiés à l’époque ont évoqué des recherches de Calif assistées par l’IA et indiqué que Wiz avait découvert et signalé les vulnérabilités de façon indépendante. Les sources disponibles ne permettent pas de préciser la contribution technique exacte de chaque participant. 14
20
Les versions correctives publiées le 21 octobre sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. 15
16 Les administrateurs devraient recenser les versions PHP utilisées en production et installer la version corrigée correspondante, ou un correctif rétroporté par leur fournisseur et dont l’application est confirmée. Certains hébergeurs peuvent intégrer un correctif de sécurité sans modifier le numéro de version de base affiché : si celui-ci semble ancien, consultez l’avis de sécurité de l’hébergeur.
1
Que sait-on des tentatives d’exploitation ?
Le 21 octobre, des médias spécialisés en sécurité ont rapporté des tentatives d’exploitation. Cloudflare a indiqué avoir observé du trafic d’attaque, et SecurityWeek a relayé les observations de plusieurs entreprises de cybersécurité avant la publication des correctifs PHP. 14
15
Les informations disponibles ne permettaient pas d’établir une conclusion définitive sur les compromissions réussies. Un résumé publié ultérieurement des informations du 21 octobre indiquait que la CISA américaine et le Centre canadien pour la cybersécurité n’avaient alors ni observé ni identifié d’exploitation, tandis que des entreprises de sécurité signalaient des tentatives. Il s’agit de constats différents : une requête malveillante tentée ne prouve pas une intrusion réussie, et l’absence d’observation par une agence ne prouve pas qu’aucun système n’a été compromis. 25
Priorité : corriger, recenser et limiter l’exposition
La NSA a recommandé aux organisations de donner la priorité aux correctifs des fournisseurs et de recenser les services matériels et logiciels qui reposent sur des versions vulnérables de PHP. 17 Selon des informations de presse, la CISA a également appelé à appliquer les correctifs sans délai.
20 Si un service concerné ne peut pas être corrigé rapidement, des recommandations rapportées dans la presse préconisent de le mettre temporairement hors ligne plutôt que de le laisser exposé.
7
21
Cloudflare a indiqué que la protection contre PHP2Shell était activée par défaut pour ses clients utilisant son pare-feu applicatif web (WAF), avec une offre gratuite ou payante, à partir du 21 octobre à 03 h 02 UTC. 14 Cette protection peut constituer une barrière supplémentaire, mais ne remplace pas la mise à jour de PHP : la présence d’une règle de filtrage ne garantit pas que le serveur vulnérable est sécurisé.
14
17
L’incident a également conduit à examiner des produits au-delà des hébergements PHP classiques. Help Net Security a rapporté que Palo Alto Networks avait indiqué que toutes les versions de PAN-OS et Panorama étaient concernées et qu’aucun correctif n’était encore disponible au moment de la publication de son article. 33 L’exposition et les mesures de réduction du risque dépendent du produit : les organisations qui utilisent des appliances ou des plateformes gérées doivent suivre les avis de leur fournisseur, plutôt que supposer qu’une mise à jour du paquet PHP corrigera aussi ces produits.
À retenir
PHP2Shell appelle une réaction rapide : recenser les services PHP, installer une version corrigée ou un correctif rétroporté confirmé, et n’utiliser l’isolation temporaire ou le filtrage que comme mesures provisoires. Les informations publiées le 21 octobre justifient de prendre au sérieux les tentatives signalées, sans pour autant considérer chacune d’elles comme la preuve d’une compromission. 1
15
17
25
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : ce qu’il faut savoir sur les failles et les correctifs » ?
PHP2Shell regroupe deux failles d’exécution de code à distance sans authentification, notées 9,2 sur l’échelle CVSS 4.0.
Quels sont les points clés à valider en premier ?
PHP2Shell regroupe deux failles d’exécution de code à distance sans authentification, notées 9,2 sur l’échelle CVSS 4.0. Les versions correctives sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Il faut recenser les installations PHP et appliquer les correctifs du fournisseur.
Que dois-je faire ensuite en pratique ?
Des tentatives d’exploitation ont été signalées, mais une tentative ne constitue pas la preuve d’une intrusion réussie.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...