PHP : deux failles critiques et des correctifs d'urgence le 21 octobre

Le projet PHP publie ce mercredi 21 octobre 2026 à 14 h 00 UTC (16 h à Paris) des correctifs de sécurité hors cycle pour deux failles critiques d'exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 par PHP lui-même selon l'échelle CVSS v4.0.

Le langage PHP fait tourner une large part du web, de WordPress aux boutiques en ligne. Une faille d'exécution de code à distance permet à un attaquant de lancer ses propres commandes sur le serveur visé. L'équipe de sécurité de PHP a prévenu la veille, le 20 octobre, qu'elle préparait ces correctifs, sans en détailler le fonctionnement.

Que sait-on réellement sur les failles PHP2Shell ?

Les deux failles ont été surnommées « php2shell » par les chercheurs, pas par PHP. Leurs identifiants ont fuité avant la date officielle via un message désormais supprimé sur Hacker News, mais la notice de PHP ne les reprend pas. Le score de 10,0 qui circule vient de la fuite et de la société de sécurité watchTowr ; PHP, lui, indique 9,2.

• Reproduction : watchTowr affirme avoir reproduit CVE-2026-109618, sans publier de détails techniques.

• Exploitation : aucune exploitation n'a été signalée au 21 octobre, et les failles ne figurent pas au catalogue des vulnérabilités exploitées (KEV) de la CISA, l'agence américaine de cybersécurité. Huntress, autre société de sécurité, n'en a pas constaté chez ses partenaires et ne connaît pas de code d'exploitation public.

• Versions touchées : non confirmées par PHP. La fuite évoquait toutes les versions depuis PHP 5, mais watchTowr précise que cette portée n'a pas été validée par un avis officiel.

Quelles branches de PHP recevront un correctif ?

Seules les branches 8.2 à 8.5 sont encore maintenues. Les versions attendues, non confirmées par PHP, sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches en fin de vie (8.1, 8.0, 7.x et 5.x) ne recevront aucun correctif du projet.

Le décompte réalisé par la société Mallory sur Shodan, un moteur de recherche d'appareils connectés, montre l'enjeu : environ 884 000 hôtes exposés sur Internet annoncent PHP 8.1 ou une version antérieure, soit 59 % du 1,5 million d'hôtes qui affichent leur version de PHP. Il s'agit de bannières HTTP, pas de serveurs confirmés vulnérables, et 740 000 hôtes supplémentaires n'indiquent aucun numéro de version.

Que faire avant et après la publication ?

• Inventorier toutes les installations PHP, y compris celles embarquées dans des appliances, des logiciels Windows ou des panneaux comme cPanel et Plesk.

• Appliquer le correctif dès sa sortie, en commençant par les serveurs exposés à Internet, et vérifier si la distribution Linux ou l'hébergeur propose des paquets rétroportés.

• Pour une branche en fin de vie : migrer, retirer le serveur d'Internet ou le placer derrière un VPN ou un pare-feu applicatif (WAF). Le CERT-EU recommande d'isoler les applications exposées si la mise à jour est impossible.

• Surveiller les lancements de shell ou d'outils de téléchargement par php-fpm, php-cgi, Apache ou httpd, signe possible d'un webshell.

Ce qui reste à confirmer

Trois points restent ouverts à l'heure de la publication : le fonctionnement exact des failles, la liste officielle des versions touchées et la date réelle d'une éventuelle exploitation. PHP se réserve le droit de publier plus tôt si les détails deviennent publics. Les écarts entre la date officielle du mercredi et celle de la fuite, un jeudi 22 octobre, rappellent de ne se fier qu'aux avis officiels.

Source

The Hacker News, BleepingComputer et Frandroid, à partir de la notice de l'équipe de sécurité de PHP.