Le 21 octobre 2026, l'équipe PHP a publié en urgence des correctifs pour deux vulnérabilités critiques affectant le cœur même du langage. Baptisées « PHP2Shell », elles permettent à un attaquant non authentifié d'exécuter du code arbitraire sur un serveur web. Des tentatives d'exploitation ont été observées avant même la publication des correctifs, et toutes les versions depuis PHP 5.4 sont concernées .
Une menace qui ne dépend d'aucune application
C'est ce qui rend PHP2Shell particulièrement dangereux : les failles ne se trouvent pas dans WordPress, Joomla ou Laravel, mais dans le runtime PHP lui-même. Même un simple fichier « Hello World » hébergé sur une version vulnérable est exposé . Comme le résume l'avis de sécurité, un site est vulnérable même lorsque son propre code est sécurisé.
Les deux vulnérabilités, identifiées CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur l'échelle CVSS v4.0 . Elles permettent à un attaquant distant et non authentifié d'exécuter du code arbitraire (RCE) sur le serveur.
Le vecteur le plus critique : les serveurs utilisant Apache mod_php, où un exploit fonctionnel déclenche l'attaque avant même que le moindre code applicatif ne s'exécute . PHP-FPM est également vulnérable, mais le chemin d'exploitation dépend d'une opération interne à l'application en cours d'exécution .
Un impact potentiellement massif
Les chercheurs de Wiz, OpenAI et Calif ont découvert ces failles en août 2026. Selon Palo Alto Networks Unit 42, plus de 22,6 millions d'instances PHP exposées sur Internet seraient potentiellement vulnérables . VirusTotal a identifié environ 5,1 millions d'adresses IP exécutant PHP, dont seulement 1,1 million divulguent leur version .
Les versions 8.1 et antérieures ne recevront aucun correctif officiel de PHP. Des backports sources ont été publiés pour PHP 7.4, 8.0 et 8.1, mais ils nécessitent une compilation manuelle .
Les versions corrigées
| Branche PHP | Version vulnérable | Première version corrigée |
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
Source : avis de sécurité PHP
Attention : mettre à jour WordPress, Joomla ou tout autre CMS ne met pas à jour le runtime PHP. Celui-ci provient du paquet serveur, de l'hébergeur ou de l'image de conteneur. Les distributions Linux et les fournisseurs de support long terme ont reçu les correctifs à l'avance ; il convient donc de vérifier le changelog du paquet pour le CVE, et non le numéro de version affiché .
Une exploitation déjà en cours
Des tentatives d'exploitation ont été observées dans la nature dès le 21 octobre, quelques heures seulement après la publication des correctifs. Cloudflare a rapporté des dizaines de milliers de tentatives dans les 45 minutes suivant la divulgation, et des millions dès le 22 octobre .
Amazon a détecté une tentative d'exploitation sur son honeypot quatre jours avant même la divulgation publique, provenant d'une adresse IP anonymisée . Selon CrowdStrike, une attaque exploitant ces failles ne laisse pratiquement aucune trace numérique : pas d'authentification à contourner, pas de session à voler, pas de endpoint vulnérable à découvrir. Les journaux applicatifs n'enregistrent rien, car aucun code applicatif n'a été exécuté .
Les attaques observées déploient un variant du botnet Mirai, baptisé « Potassium », capable de lancer des attaques DDoS et de télécharger des charges supplémentaires .
Que faire si vous ne pouvez pas mettre à jour immédiatement
L'avis officiel est sans ambiguïté : seule une mise à jour constitue un correctif complet. Les mesures ci-dessous réduisent l'exposition à certains chemins d'attaque, mais ne rendent pas un serveur sûr .
Pour CVE-2026-109618 :
- Régler memory_limit=-1 pour que les applications ne puissent pas le contourner
- Maintenir post_max_size à une valeur basse
- Imposer des limites de taille de requête au niveau du serveur web ou du proxy
- Ne pas utiliser RLIMIT_AS ou RLIMIT_DATA comme substitut, car PHP avertit qu'ils peuvent déclencher le même chemin vulnérable
Pour CVE-2026-109619 :
- Régler session.upload_progress.enabled=0 et redémarrer tous les workers
- Sur PHP 8.5, régler également fatal_error_backtraces=0
- Cette configuration bloque les chemins de session confirmés, mais pas les autres variantes
Si aucune mesure n'est possible : le CERT-EU recommande d'isoler les applications exposées à Internet des réseaux publics jusqu'à ce qu'un correctif soit appliqué.
Notre analyse : pourquoi cette faille vous concerne directement
Chez NATIC Technologies, nous suivons de près les vulnérabilités critiques affectant les infrastructures web. PHP2Shell est un cas d'école : une faille dans le moteur, invisible pour l'utilisateur, qui expose des milliers de sites — y compris des sites vitrines, des boutiques en ligne et des applications métier hébergées au Sénégal et en Afrique de l'Ouest.
Notre recommandation est claire : ne pas attendre. Si vous hébergez un site PHP sur un serveur que vous administrez, vérifiez la version exacte de votre runtime et appliquez la mise à jour sans délai. Si vous êtes hébergé chez un prestataire, contactez-le dès aujourd'hui pour connaître son plan de remédiation.
Pour les hébergeurs et agences web en Afrique de l'Ouest : auditez immédiatement les versions PHP de vos clients. Ne vous fiez pas au numéro affiché, mais vérifiez le changelog des paquets serveur. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Pour les entreprises : exigez de la transparence de vos prestataires. Posez des questions précises : quelle version de PHP est utilisée sur mon site ? Avez-vous appliqué les correctifs PHP2Shell ? Si non, quand seront-ils appliqués et quelles mesures compensatoires sont en place ?
Conclusion : l'urgence est absolue
PHP2Shell n'est pas une faille applicative que l'on peut contourner en désactivant un plugin. C'est une vulnérabilité du moteur qui fait tourner une grande partie du web. Les serveurs exposés à Internet, en particulier ceux sous Apache mod_php, doivent être mis à jour immédiatement.
Pour les hébergeurs, les agences web et toutes les entreprises qui opèrent des sites PHP — y compris au Sénégal et en Afrique de l'Ouest —, la question n'est plus de savoir si une attaque aura lieu, mais quand. Et contrairement à de nombreuses failles, celle-ci ne laisse aucune marge de manœuvre : seule la mise à jour du runtime PHP protège réellement.
