CVE-2026-109618 : PHP Core RCE CVSS 9.2 — patch d'urgence

Les faits

Le 21 octobre 2026, l'équipe de sécurité PHP a procédé à une publication hors-cycle de correctifs d'urgence pour remédier à deux vulnérabilités critiques d'exécution de code à distance (RCE) dans le moteur PHP lui-même. Ces deux failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont été notées CVSS v4.0 9.2, les classant dans la catégorie Critique. La sortie des correctifs, initialement prévue le 21 octobre à 14h00 UTC, a été précipitée après que les détails des vulnérabilités ont fuité dans des cercles de sécurité sous l'appellation « php2shell ».

L'origine de la fuite remonte au 19 octobre 2026. Des chercheurs en sécurité indépendants ont partagé des preuves de concept (PoC) et des captures d'écran dans des forums privés, confirmant que les deux vulnérabilités étaient bien réelles et reproducibles sur des installations PHP standards. Le cabinet Huntress a publié un rapport d'analyse rapide (Rapid Response) le 20 octobre 2026, confirmant avoir testé les CVEs dans ses environnements partenaires et n'avoir observé aucune exploitation active dans la nature à cette date. Toutefois, la fenêtre défensive était décrite comme « très courte », au vu de la disponibilité d'information technique avant le patch officiel.

Sur le plan technique, les deux vulnérabilités résident dans le cœur de PHP (php-src) et peuvent être exploitées à distance via des requêtes HTTP crafted. Le vecteur d'attaque est réseau, sans nécessiter d'authentification préalable. La condition d'exploitation principale est que le serveur cible exécute PHP dans un mode exposé au réseau, ce qui représente la quasi-totalité des déploiements web dynamiques. La surface d'attaque est considérable : selon les estimations du cabinet Sansec, toute installation PHP 5.4 ou supérieure est potentiellement vulnérable, qu'il s'agisse d'un serveur Apache avec mod_php, d'une configuration Nginx+PHP-FPM ou d'un serveur de développement intégré.

CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant distant de provoquer une exécution de code arbitraire avec les privilèges du processus PHP. Dans un scénario standard, un attaquant sans compte sur le serveur cible peut envoyer une requête HTTP spécialement construite vers n'importe quelle page PHP, déclenchant une corruption mémoire dans l'interpréteur. Le résultat potentiel est une prise de contrôle complète du serveur web, avec accès à la base de données, aux clés privées, aux sessions utilisateur et à l'ensemble des fichiers accessibles par l'utilisateur PHP.

La note CVSS v4.0 de 9.2 reflète les caractéristiques suivantes du vecteur d'attaque : AV:N (réseau), AC:L (complexité faible), AT:N (sans prérequis), PR:N (sans authentification), UI:N (sans interaction utilisateur), VC:H/VI:H/VA:H (impact complet sur la confidentialité, l'intégrité et la disponibilité). Cette combinaison en fait l'une des vulnérabilités PHP les plus graves jamais publiées. À titre de comparaison, la célèbre faille RCE CVE-2012-1823 avait obtenu un score CVSS v3 de 9.8 avec une portée similaire, mais la surface d'attaque ici est potentiellement plus large en raison de la nature transversale du moteur PHP.

Un point crucial à retenir : seules les branches PHP 8.1, 8.2, 8.3 et 8.4 reçoivent des correctifs officiels de l'équipe PHP. Les branches PHP 5.x et 7.x ne sont plus maintenues en sécurité depuis respectivement décembre 2018 et décembre 2022. Des millions de serveurs tournant encore sous PHP 5 ou PHP 7 sont exposés sans possibilité de correctif upstream. Les hébergeurs et équipes opérationnelles gérant de vieux stacks devront migrer vers PHP 8 ou implémenter des mitigations réseau en urgence. La migration PHP 7 vers PHP 8 implique souvent des ajustements de code (fonctions dépréciées, typage strict), ce qui peut représenter un délai opérationnel significatif pour certaines organisations.

Du point de vue de la chaîne d'approvisionnement logicielle, l'impact potentiel est considérable. PHP alimente environ 77% de tous les sites web dont le langage serveur est connu, selon les statistiques W3Techs d'octobre 2026. Parmi les CMS et frameworks les plus affectés figurent WordPress, Drupal, Joomla, Laravel, Symfony, Magento et PrestaShop — l'ensemble de l'écosystème web PHP est potentiellement à risque si les serveurs sous-jacents ne sont pas mis à jour immédiatement. Les hébergeurs mutualisés devront déployer des mises à jour groupées sur leurs parcs de serveurs, un processus qui peut prendre des heures ou des jours selon la taille de l'infrastructure.

Le phénomène de « php2shell » rappelle les circonstances de la découverte de CVE-2019-11043 (faille PHP-FPM) ou de CVE-2012-1823. Dans les deux cas, la disponibilité d'un PoC avant ou peu après la publication du patch avait conduit à des vagues d'exploitation massives dans les 48 heures. D'après les analyses de watchTowr Intelligence et Beazley Security Labs, les serveurs non patchés exposés sur Internet pourraient faire l'objet d'exploitation automatisée dès que des exploits stables seront construits à partir de l'analyse différentielle des correctifs, un processus qui prend généralement entre 24 et 72 heures. Le CERT-FR devrait émettre un bulletin dédié dans les prochaines heures. Aucun indicateur de compromission (IoC) spécifique n'avait été publié au moment de la parution de cet article.

Impact et exposition

L'exposition est massive. PHP est le langage de programmation serveur le plus répandu au monde, présent sur des dizaines de millions de serveurs web. Tout serveur exécutant PHP 5.4 ou supérieur et accessible depuis Internet est potentiellement vulnérable. Les environnements cloud (AWS, Azure, GCP), les hébergements mutualisés, les VPS, les serveurs dédiés et même les NAS grand public embarquant PHP sont concernés. Les configurations PHP-FPM, mod_php, CGI et CLI sont toutes potentiellement affectées selon les détails techniques qui seront publiés avec le correctif.

Les conditions d'exploitation sont particulièrement préoccupantes : aucune authentification n'est requise, l'attaque s'initie depuis n'importe quelle connexion réseau, et la complexité d'exploitation est faible. La fenêtre d'exploitation est ouverte depuis la fuite des PoC le 19 octobre 2026. Dès que les correctifs sont analysés par reverse engineering (delta-patching), des exploits publics fiables pourraient être disponibles dans les 24 à 48 heures suivant la publication officielle du patch.

Les systèmes les plus exposés sont ceux sans WAF devant leurs instances PHP, ceux qui ne segmentent pas leur réseau interne, et surtout ceux tournant encore sous PHP 7 ou PHP 5 sans chemin de migration défini. Les environnements de production qui ne peuvent pas être mis à jour immédiatement devront s'appuyer sur des mitigations réseau : filtrage de requêtes au niveau WAF ou isolation réseau stricte.

En cas de compromission réussie, un attaquant peut exécuter des commandes système arbitraires, installer des backdoors persistantes, exfiltrer des bases de données complètes, pivoter vers d'autres systèmes du réseau interne, et potentiellement chiffrer des données à des fins de ransomware. La criticité CVSS 9.2 reflète ce risque maximal d'impact.

Recommandations immédiates

• Mettre à jour PHP vers les versions corrigées publiées le 21 octobre 2026 — advisory PHP Security pour les branches 8.1.x, 8.2.x, 8.3.x, 8.4.x
• Si la mise à jour immédiate est impossible : restreindre l'accès réseau aux serveurs PHP au niveau firewall/réseau
• Activer les règles WAF spécifiques à ces CVEs dès leur disponibilité (Cloudflare WAF, ModSecurity, NAXSI)
• Auditer les serveurs encore sous PHP 5 ou PHP 7 et planifier une migration d'urgence vers PHP 8.x
• Surveiller les logs d'accès web pour des requêtes HTTP anormales ciblant l'interpréteur PHP
• Consulter les bulletins CERT-FR (certfr-2026-ale-xxx attendu) et NVD/NIST pour les IoCs dès leur publication