# PHP : deux failles critiques et des correctifs d'urgence le 21 octobre

> Deux failles d'exécution de code à distance, notées 9,2 par PHP, seront corrigées en urgence à 14 h UTC ce mercredi.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/php-failles-critiques-cve-2026-109618-correctifs-21-octobre
- Auteur : Kelvyn
- Publié le : 21 octobre 2026 (2026-10-21T07:57:52.618Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, watchTowr, PHP, php2shell, CVE-2026-109618
- Langue : français

Le projet PHP publie ce mercredi 21 octobre 2026 à 14 h 00 UTC (16 h à Paris) des correctifs de sécurité hors cycle pour deux failles critiques d'exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 par PHP lui-même selon l'échelle CVSS v4.0.

Le langage PHP fait tourner une large part du web, de WordPress aux boutiques en ligne. Une faille d'exécution de code à distance permet à un attaquant de lancer ses propres commandes sur le serveur visé. L'équipe de sécurité de PHP a prévenu la veille, le 20 octobre, qu'elle préparait ces correctifs, sans en détailler le fonctionnement.

## Que sait-on réellement sur les failles PHP2Shell ?

Les deux failles ont été surnommées « php2shell » par les chercheurs, pas par PHP. Leurs identifiants ont fuité avant la date officielle via un message désormais supprimé sur Hacker News, mais la notice de PHP ne les reprend pas. Le score de 10,0 qui circule vient de la fuite et de la société de sécurité watchTowr ; PHP, lui, indique 9,2.

- **Reproduction** : watchTowr affirme avoir reproduit CVE-2026-109618, sans publier de détails techniques.
- **Exploitation** : aucune exploitation n'a été signalée au 21 octobre, et les failles ne figurent pas au catalogue des vulnérabilités exploitées (KEV) de la CISA, l'agence américaine de cybersécurité. Huntress, autre société de sécurité, n'en a pas constaté chez ses partenaires et ne connaît pas de code d'exploitation public.
- **Versions touchées** : non confirmées par PHP. La fuite évoquait toutes les versions depuis PHP 5, mais watchTowr précise que cette portée n'a pas été validée par un avis officiel.

## Quelles branches de PHP recevront un correctif ?

Seules les branches 8.2 à 8.5 sont encore maintenues. Les versions attendues, non confirmées par PHP, sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches en fin de vie (8.1, 8.0, 7.x et 5.x) ne recevront aucun correctif du projet.

Le décompte réalisé par la société Mallory sur Shodan, un moteur de recherche d'appareils connectés, montre l'enjeu : environ 884 000 hôtes exposés sur Internet annoncent PHP 8.1 ou une version antérieure, soit 59 % du 1,5 million d'hôtes qui affichent leur version de PHP. Il s'agit de bannières HTTP, pas de serveurs confirmés vulnérables, et 740 000 hôtes supplémentaires n'indiquent aucun numéro de version.

## Que faire avant et après la publication ?

- Inventorier toutes les installations PHP, y compris celles embarquées dans des appliances, des logiciels Windows ou des panneaux comme cPanel et Plesk.
- Appliquer le correctif dès sa sortie, en commençant par les serveurs exposés à Internet, et vérifier si la distribution Linux ou l'hébergeur propose des paquets rétroportés.
- Pour une branche en fin de vie : migrer, retirer le serveur d'Internet ou le placer derrière un VPN ou un pare-feu applicatif (WAF). Le CERT-EU recommande d'isoler les applications exposées si la mise à jour est impossible.
- Surveiller les lancements de shell ou d'outils de téléchargement par php-fpm, php-cgi, Apache ou httpd, signe possible d'un webshell.

> Comparaison utile : pour CVE-2024-4577, une précédente faille PHP, Akamai avait observé des tentatives d'exploitation dans les 24 heures suivant la divulgation. Une fois les correctifs publiés, les attaquants peuvent comparer le code avant et après.

## Ce qui reste à confirmer

Trois points restent ouverts à l'heure de la publication : le fonctionnement exact des failles, la liste officielle des versions touchées et la date réelle d'une éventuelle exploitation. PHP se réserve le droit de publier plus tôt si les détails deviennent publics. Les écarts entre la date officielle du mercredi et celle de la fuite, un jeudi 22 octobre, rappellent de ne se fier qu'aux avis officiels.

## Source

[The Hacker News](https://thehackernews.com/2026/10/php2shell-two-unpatched-critical-php.html), [BleepingComputer](https://www.bleepingcomputer.com/news/security/php-warns-admins-of-two-critical-flaws-emergency-patches-coming-tomorrow/) et [Frandroid](https://www.frandroid.com/culture-tech/3293371_failles-critiques-dans-php-alerte-maximale-et-mise-a-jour-durgence-ce-mercredi-a-16-h), à partir de la notice de l'équipe de sécurité de PHP.

## À retenir

- Le projet PHP publie le 21 octobre 2026 à 14 h UTC des correctifs hors cycle pour CVE-2026-109618 et CVE-2026-109619, deux failles d'exécution de code à distance notées 9,2 par PHP.
- Aucune exploitation n'était signalée au 21 octobre 2026, selon watchTowr et Huntress, mais PHP se réserve le droit de publier plus tôt.
- Seules les branches PHP 8.2 à 8.5 recevront un correctif ; les versions 8.1 et antérieures restent exposées sans mise à jour du projet.
- Les administrateurs doivent inventorier leurs installations PHP, y compris dans les appliances, et appliquer le correctif en commençant par les serveurs exposés.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/php-failles-critiques-cve-2026-109618-correctifs-21-octobre