PHP2Shell : deux failles RCE critiques corrigées

Le 21 octobre 2026, l'équipe de sécurité de PHP a publié des correctifs d'urgence pour PHP2Shell, deux failles critiques d'exécution de code à distance (RCE) suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619. Notées 9,2 (Critique) selon CVSS v4.0, elles touchent PHP 5.4 à 8.5, le langage derrière environ 69 % des sites web. Aucune authentification n'est nécessaire : une seule requête multipart/form-data suffit.

Qu'est-ce que PHP2Shell ?

PHP2Shell désigne une chaîne d'exploitation combinant deux bugs de sécurité mémoire dans le cœur de PHP, découverts indépendamment par Calif (avec OpenAI) et par Wiz. Le nom provient d'une capture d'écran et d'une démo vidéo fuitées montrant un exploit fonctionnel.

Quand une requête PHP échoue gravement — souvent par manque de mémoire — la routine de nettoyage libère de la mémoire que d'autres parties du processus utilisent encore. L'attaquant manipule cet état pour exécuter son code à la requête suivante, avant tout code du site. Même les applications parfaitement codées sont exposées. Les vulnérabilités critiques de sécurité PHP illustrent la difficulté du nettoyage mémoire dans les processus web de longue durée.

Comment fonctionne l'attaque

CVE-2026-109618 : RCE via corruption OOM

Décrite par PHP comme « RCE via OOM corruption », elle passe par l'analyse des formulaires d'upload : longueurs inutilisables, en-têtes sans fin ou champs fichiers vides imbriqués forcent PHP à sortir de l'exécution normale. Sur mod_php d'Apache, l'attaque complète fonctionne avec les limites par défaut.

CVE-2026-109619 : RCE via état global obsolète

La seconde faille utilise une mémoire du processus PHP après sa libération. PHP a confirmé l'exécution de code via le backtrace d'erreur fatale (mod_php) et via la progression d'upload de session (mod_php et PHP-FPM). Tous les modes d'exécution courants sont touchés, mod_php étant le plus dangereux. Des attaques ont été confirmées contre WordPress, Drupal, Magento, Joomla, Laravel, Symfony et d'autres. Wiz parle de « l'une des vulnérabilités les plus graves de l'histoire du logiciel ».

Ce qui est confirmé, et ce qui ne l'est pas

Confirmé

• Deux failles critiques dans le cœur de PHP, pas dans un plugin.
• Note de 9,2 sur 10 (CVSS v4.0).
• Correctifs publiés le 21 octobre 2026 à 14h00 UTC.
• RCE non authentifiée validée sur mod_php et via la session sur PHP-FPM.
• Exploitation observée dans les honeypots de watchTowr.
• Aucun réglage ne corrige tout : seule la mise à jour ferme tous les chemins.

Rapporté, non confirmé par PHP

• La vulnérabilité de chaque application listée : PHP a confirmé les chemins, pas chaque application.
• L'ampleur des attaques actives ; la CISA n'avait pas listé les failles comme exploitées.
• Plus de 1,3 million d'hôtes potentiellement exposés selon une estimation approximative.

Que faire si vous utilisez PHP

Le conseil est unanime : « la seule mitigation est de patcher / mettre à niveau PHP », résume la développeuse PHP Gina Peter Banyard.

1. Recensez tous vos PHP. La version en ligne de commande diffère parfois de celle du serveur web.
2. Mettez à jour immédiatement. Installez PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ; consultez les avis des distributions et hébergeurs.
3. Ne comptez pas sur les réglages. session.upload_progress.enabled=0 ou memory_limit=-1 ne bloquent que certains chemins.
4. Gagnez du temps. Cloudflare a activé des règles pare-feu pour tous ses clients, y compris gratuits.
5. Cherchez des traces de compromission. Fichiers PHP inattendus, nouveaux administrateurs, connexions sortantes inhabituelles.

Pourquoi c'est important

PHP alimente blogs, boutiques, forums, portails publics et la plupart des installations WordPress. Le correctif révélant le code vulnérable, les attaquants peuvent comparer les versions et créer des exploits rapidement ; Sansec avertit que l'exploitation massive de serveurs web pourrait commencer en quelques minutes. Beaucoup de sites tournent encore sur PHP 7 et 5 en fin de vie.

L'impact fut immédiat : plusieurs sites gouvernementaux européens ont été mis hors ligne par précaution et le CTO de Cloudflare dit « voir émerger les premières attaques ». Autre sujet d'inquiétude : la sécurité des autorités de certification et d'autres infrastructures critiques, confrontées à des problèmes distincts le même jour.

FAQ

Qu'est-ce que PHP2Shell ?

Deux vulnérabilités critiques de PHP permettant une RCE non authentifiée sur PHP 5.4 à 8.5.

Quelles versions sont touchées ?

Toutes de 5.4 à 8.5. Versions corrigées : 8.5.12, 8.4.27, 8.3.36, 8.2.35 ; patchs source pour 7.4, 8.0 et 8.1.

Comment protéger mon serveur ?

Mettez PHP à jour immédiatement. Aucun réglage ne bloque totalement l'attaque.

PHP2Shell a-t-il été exploité ?

Oui : tentatives signalées par Cloudflare avant le patch et exploitations observées par watchTowr le 21 octobre 2026.

Mettre à jour WordPress suffit-il ?

Non. La faille est dans PHP lui-même ; il faut mettre à jour PHP, pas seulement le CMS.