Deux vulnérabilités critiques découvertes dans PHP menacent potentiellement les serveurs web. Les entreprises doivent identifier leurs installations et préparer des correctifs annoncés pour le 21 octobre.
Deux failles de sécurité, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, placent les administrateurs de serveurs web en état d’alerte. Regroupées sous le nom PHP2Shell, elles présentent chacune un score de gravité CVSS v4.0 de 9,2 sur 10. Selon le CERT-EU, ces vulnérabilités pourraient permettre à un pirate informatique d’exécuter du code à distance sans authentification préalable. Le 20 octobre 2026, l’équipe de sécurité de PHP a annoncé une publication exceptionnelle de correctifs aujourd’hui 21 octobre. L’urgence concerne les entreprises, les hébergeurs et les organisations utilisant PHP pour faire fonctionner leurs applications accessibles depuis Internet.
PHP2Shell : un risque majeur pour les infrastructures web
PHP constitue l’un des composants essentiels de nombreuses infrastructures web. Ce langage de programmation côté serveur intervient notamment dans le fonctionnement de WordPress, Drupal, Joomla et de nombreuses applications professionnelles développées sur mesure. Une vulnérabilité affectant directement PHP peut donc concerner plusieurs catégories de services numériques, indépendamment du système de gestion de contenu utilisé.
Le 20 octobre 2026, les responsables de PHP ont annoncé la préparation de correctifs exceptionnels destinés à traiter deux vulnérabilités critiques. Cette communication anticipée vise à permettre aux administrateurs de préparer leurs interventions avant la divulgation complète des informations techniques.
Les deux failles, CVE-2026-109618 et CVE-2026-109619, présentent chacune une gravité évaluée à 9,2 sur 10 selon le référentiel CVSS v4.0. Cette classification traduit un niveau de risque particulièrement élevé.
Selon le CERT-EU, les informations disponibles évoquent une possibilité d’exécution de code à distance, également appelée Remote Code Execution (RCE). Dans un tel scénario, un attaquant pourrait déclencher l’exécution d’instructions malveillantes sur un serveur vulnérable sans nécessairement posséder d’identifiants.
Les conséquences potentielles dépassent largement la simple indisponibilité d’un site Internet. Une exploitation réussie pourrait permettre de consulter des fichiers confidentiels, de récupérer des identifiants techniques, de modifier des contenus ou de déposer une porte dérobée afin de conserver un accès pirate, une backdoor.
Le travail va au-delà de la collecte, analyser le contenu des dépôts pour tenter d’écarter les faux positifs et identifier les informations utiles, notamment les fichiers clés et les prérequis à l’exploitation. L’objectif est de permettre de retrouver, pour chaque CVE, les exploits identifiés et leurs informations clés : fichiers importants, conditions nécessaires à l’exploitation, etc. – OpenCVE
http.component:PHP country:XX
La compromission d'un serveur exposé pourrait également devenir un point d'entrée vers d'autres ressources du système d'information, selon les permissions et les connexions dont dispose le service attaqué. Ces scénarios décrivent les conséquences possibles d'une exécution de code à distance. Ils ne constituent pas, à ce stade, la démonstration publique d'une exploitation des deux vulnérabilités. Les mécanismes techniques précis restent à confirmer officiellement.
Le CERT-FR identifie comme potentiellement concernées les branches PHP 5.x, 6.x, 7.x et 8.x. Cette classification impose une vigilance étendue, sans signifier que chaque installation serait exploitable dans les mêmes conditions.
Les anciennes branches représentent une difficulté supplémentaire. Les environnements utilisant PHP 5, PHP 7, PHP 8.0 ou PHP 8.1 ne bénéficient plus du support habituel de l'éditeur. Leur sécurisation peut nécessiter une migration plutôt qu'une simple mise à jour.
Entreprises : identifier, corriger et surveiller les serveurs PHP
Le calendrier annoncé donne une dimension particulière à cette alerte. Les correctifs sont attendus mercredi 21 octobre 2026 à 16 heures, heure française. L'équipe PHP précise qu'une publication anticipée reste envisageable si des informations techniques deviennent publiques ou si des attaques actives sont détectées.
Pour les entreprises, le principal défi consiste à retrouver l'ensemble des environnements utilisant PHP. Certaines installations sont parfaitement documentées. D'autres peuvent subsister dans des applications anciennes, des outils internes, des espaces d'administration ou des infrastructures externalisées.
La présence de composants non inventoriés complique considérablement une réponse rapide. Une organisation peut ainsi sécuriser son site Internet principal tout en conservant une application secondaire exposée et potentiellement vulnérable.
L'urgence porte donc autant sur la connaissance du patrimoine informatique que sur l'installation des correctifs.
Les équipes de sécurité doivent commencer par identifier les serveurs PHP accessibles depuis Internet, déterminer les versions utilisées et vérifier les dépendances applicatives. Les environnements les plus exposés nécessitent une attention prioritaire.
Le CERT-FR présente également plusieurs mesures provisoires, dont la désactivation du suivi de progression des téléversements dans la configuration PHP. Cette fonctionnalité peut être désactivée avec le paramètre session.upload_progress.enabled = Off.
Dans certaines configurations PHP-FPM, une modification complémentaire de php_admin_flag est nécessaire.
Cette précaution possède toutefois une limite importante. Elle ne réduit la surface d'attaque que pour l'une des deux vulnérabilités. Le CERT-FR précise également que ces mesures de contournement n'ont pas été qualifiées par ses services.
Une autre piste consiste à filtrer les requêtes HTTP de type multipart au moyen d'un pare-feu applicatif. Une telle restriction peut cependant perturber les formulaires et les fonctionnalités de téléversement. Elle nécessite donc une évaluation préalable de ses conséquences opérationnelles.
Pour zataz, cette alerte illustre un problème récurrent dans la gestion des risques numériques. Le véritable enjeu ne se limite pas au déploiement d'un correctif : il concerne la capacité des organisations à connaître précisément les technologies présentes dans leurs infrastructures.
Les serveurs impossibles à corriger immédiatement doivent faire l'objet de mesures d'isolement adaptées. La surveillance des journaux applicatifs, des connexions inhabituelles et des modifications suspectes de fichiers peut également contribuer à identifier les premiers signes d'une compromission.
La rapidité potentielle des cybercriminels, notamment lorsque des outils automatisés ou des systèmes d'intelligence artificielle facilitent certaines étapes de leurs opérations, renforce l'intérêt d'une réaction préventive. Cette menace générale ne signifie toutefois pas que des campagnes exploitant PHP2Shell à l'aide de l'IA aient été établies.
Une fois les correctifs publiés, les organisations devront vérifier les versions réellement affectées et confirmer l'efficacité de leurs mises à jour. Une installation corrigée ne dispense pas d'une recherche d'éventuelles traces d'intrusion antérieures.
En résumé !
Alors, PHP, c’est quoi ?
C’est un langage informatique qui permet de faire fonctionner une grande partie des sites web. Par exemple, lorsque vous consultez un site WordPress, remplissez un formulaire ou vous connectez à votre espace client, il y a de fortes chances que PHP intervienne en coulisses.
Pourquoi ces deux failles sont-elles particulièrement dangereuses ?
Parce qu'elles peuvent permettre à un pirate de prendre le contrôle de certaines fonctions d'un serveur Internet, à distance, sans même connaître de mot de passe ! Imaginez un cambrioleur capable d'entrer dans un bâtiment sans clé, simplement en exploitant un défaut dans la serrure.
Et que peuvent faire les pirates ?
Potentiellement, beaucoup de dégâts ! Voler des fichiers confidentiels, récupérer des mots de passe, modifier un site Internet, installer un logiciel espion ou encore préparer une attaque par rançongiciel. Un serveur piraté peut également devenir une porte d'entrée vers le réseau informatique d'une entreprise.
Est-ce que cela se corrige rapidement ?
Bonne nouvelle : oui, les correctifs officiels ont été publiés ce mercredi 21 octobre. Pour un site correctement administré, une mise à jour peut être réalisée rapidement, parfois en quelques minutes.
Mais attention ! Dans une entreprise qui possède des dizaines de sites ou de vieux logiciels, identifier les installations et vérifier que les mises à jour ne perturbent rien peut prendre beaucoup plus de temps.
Autre problème : certaines anciennes versions de PHP ne sont plus officiellement maintenues. Il faut alors trouver des correctifs adaptés ou migrer vers une version récente.
Est-ce que les internautes doivent s'inquiéter ?
Pas directement. Ce sont d'abord les propriétaires de sites, les hébergeurs et les équipes informatiques qui doivent agir. Mais les internautes peuvent subir les conséquences d'un piratage, notamment si leurs données personnelles sont dérobées.
Et c'est toute la difficulté : les pirates peuvent désormais étudier ces failles et développer des attaques automatisées.
Le message est donc simple : les correctifs existent, il faut les installer sans tarder. Car sur Internet, une porte laissée ouverte ne reste jamais longtemps inaperçue. Pour preuve, le CERT de l'Union Européenne (comme zataz d'ailleurs) a déjà détecté des démonstrations diffusées sur le web et le darkweb.
