## En bref

- CVE-2026-109618 et CVE-2026-109619 (PHP2Shell) : deux RCE critiques CVSS v4.0 à 9.2, affectant PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed

- Systèmes affectés : toutes les installations PHP servant des requêtes web — versions antérieures à PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; patches disponibles depuis le 21 octobre 2026

- Ajoutées au catalogue CISA KEV le 26 octobre 2026 — PoC public partiel disponible, exploitation in-the-wild possible

## Les faits

Surnommées **PHP2Shell** par les chercheurs de Datadog Security Labs et de Rapid7, les vulnérabilités **CVE-2026-109618** et **CVE-2026-109619** représentent l'un des incidents de sécurité les plus significatifs affectant l'infrastructure PHP en 2026. Les deux failles ont été scorées **CVSS v4.0 à 9.2** par la PHP Foundation, qui a initialement communiqué dans le cadre d'une procédure de [responsible disclosure](/glossaire/responsible-disclosure) avant que des détails ne fuient prématurément dans la communauté, forçant une publication accélérée des correctifs le **21 octobre 2026**.

La PHP Foundation a précisé que les estimations initiales circulant dans les canaux communautaires, qui attribuaient un score CVSS 10.0 aux deux CVE, étaient incorrectes. Le score officiel de 9.2 sous CVSS v4.0 reste néanmoins dans la catégorie *Critical* et reflète la portée exceptionnelle de ces vulnérabilités : elles permettent l'exécution de code arbitraire à distance (Remote Code Execution) sur tout serveur web exécutant PHP sans aucune authentification préalable requise. La surface d'attaque englobe toutes les installations PHP servant des requêtes web, indépendamment du framework ou de l'application hébergée.

Les vecteurs d'attaque de PHP2Shell couvrent l'ensemble des modes de déploiement PHP courants : **PHP-FPM** (FastCGI Process Manager, le mode de déploiement le plus répandu en production), **Apache mod_php** (signalé par Rapid7 comme le vecteur à risque le plus élevé), **php-cgi** (mode historique encore présent dans de nombreuses configurations legacy), **FrankenPHP** (le serveur PHP nouvelle génération basé sur Go et Caddy) et **LiteSpeed** (serveur web fréquemment utilisé par les hébergeurs mutualisés cPanel). Cette couverture quasi-exhaustive des configurations PHP web rend PHP2Shell comparable en portée à [Log4Shell](/glossaire/log4shell) pour le monde Java.

Du point de vue technique, les deux CVE touchent des composants distincts du core PHP mais partagent des caractéristiques d'exploitation similaires. Les détails techniques précis des root causes n'ont pas été intégralement divulgués au moment de la publication officielle pour limiter la création d'exploits weaponisés. Selon les analyses de Rapid7 et Tenable, les failles impliquent des défauts de traitement des données d'entrée dans des chemins de code critiques du runtime PHP, permettant de passer de la manipulation de requêtes HTTP à l'exécution de commandes système. Les deux organisations ont qualifié ces failles de "critical unauthenticated Remote Code Execution" dans leurs bulletins techniques.

La chronologie de PHP2Shell présente plusieurs éléments notables. La fuite prématurée des détails techniques avant la disponibilité des correctifs a créé une **fenêtre de zero-day** exposant les administrateurs système à une menace sans possibilité de patch immédiat. La PHP Foundation a réagi en accélérant le cycle de release, publiant les correctifs le 21 octobre 2026 pour les branches PHP 8.2 (version **8.2.35**), PHP 8.3 (version **8.3.36**), PHP 8.4 (version **8.4.27**) et PHP 8.5 (version **8.5.12**). Les branches PHP antérieures (7.x, 8.0, 8.1) sont également affectées mais ne bénéficient plus de support de sécurité officiel depuis leur fin de vie.

Un proof-of-concept partiel a été publié publiquement peu après la divulgation. L'analyse de Rapid7 indique que les PoC disponibles démontrent l'exécution de code arbitraire mais uniquement dans des combinaisons spécifiques de système d'exploitation, version PHP et serveur web. Aucun exploit universel et fiable ne semblait disponible au moment des premières analyses — l'organisation watchTowr n'avait pas observé d'exploitation active in-the-wild dans ses honeypots. Cependant, le **26 octobre 2026**, la CISA a ajouté les deux CVE à son catalogue **Known Exploited Vulnerabilities (KEV)**, selon une source (runZero), signalant l'existence d'une exploitation active ou imminente suffisamment crédible pour imposer des délais de remédiation aux agences fédérales américaines sous la BOD 22-01.

La seule mitigation complète est la mise à jour vers les versions corrigées. Les tentatives de mitigation sans patch — restrictions de taille de requêtes, limites mémoire PHP, filtrage WAF — ne font que réduire la surface d'attaque sans l'éliminer. Rapid7 et Tenable ont tous deux clairement indiqué dans leurs analyses que la mise à jour immédiate est la seule recommandation valide. Pour les installations sur branches PHP en fin de vie (8.0, 8.1, 7.x), la migration vers une version supportée est impérative, sans délai possible.

L'impact potentiel de PHP2Shell sur l'infrastructure web mondiale est considérable : PHP est le langage serveur le plus utilisé au monde, présent dans une majorité des CMS (WordPress, Drupal, Joomla, Magento) et frameworks web (Laravel, Symfony, CodeIgniter). Une exploitation à grande échelle pourrait compromettre simultanément des millions de serveurs web. Les acteurs de menace avancés (groupes APT, [ransomware](/glossaire/ransomware-rancongiciel) operators) ont démontré leur capacité à weaponize rapidement les RCE critiques touchant des technologies à large adoption — comme l'illustrent les campagnes massives qui ont suivi Log4Shell en 2021 ou les vulnérabilités Ivanti Connect Secure en 2024-2025.

## Impact et exposition

Toute installation PHP servant des requêtes HTTP sans les versions corrigées est à risque. L'exploitation réussie permet l'exécution de code arbitraire avec les droits du processus web (www-data, apache, nginx selon la configuration). Ce niveau d'accès initial est suffisant pour : lire les fichiers de configuration contenant des credentials de base de données, exécuter des commandes système, établir un shell persistant via un webshell PHP déposé dans le répertoire web, et pivoter vers d'autres services si les permissions le permettent.

La portée est particulièrement large dans les environnements d'hébergement mutualisé où de nombreux sites partagent un même processus PHP. Dans ces contextes, la compromission d'un seul site peut donner accès aux fichiers de configuration des sites voisins. Les hébergeurs utilisant LiteSpeed sont particulièrement concernés. Pour les applications PHP servant des APIs exposées directement sur Internet, l'exposition est immédiate et sans nécessité d'interaction utilisateur.

Selon les statistiques d'adoption PHP, une proportion significative des serveurs web dans le monde reste sur des versions non patchées plusieurs semaines après la publication des correctifs, en raison des cycles de déploiement et des tests de compatibilité requis par les équipes opérationnelles. Les applications critiques — portails bancaires, plateformes e-commerce, systèmes de gestion de santé — utilisant PHP sont particulièrement à risque si leur processus de mise à jour n'a pas été appliqué rapidement après le 21 octobre 2026.

## Recommandations immédiates

- Mettre à jour PHP immédiatement vers PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 ou PHP 8.5.12 — PHP Security Releases Advisory octobre 2026

- Pour les branches PHP en fin de vie (8.0, 8.1, 7.x) : migration urgente vers PHP 8.2+ ou 8.3+ — ces versions ne recevront pas de patch officiel

- Vérifier la version PHP active : php -v ou pour PHP-FPM : php-fpm8.x -v

- Redémarrer PHP-FPM après mise à jour : systemctl restart php8.x-fpm

- Scanner les fichiers web pour détecter des webshells PHP : find /var/www -name "*.php" -newer /var/www/html/index.php -mtime -30

- Activer des règles WAF/ModSecurity spécifiques à PHP2Shell pendant la phase de mise à jour (règles disponibles dans les sets OWASP CRS v4.x)

- Surveiller les logs d'accès pour des patterns d'exploitation : requêtes malformées, payloads inhabituels dans les paramètres POST/GET

#### ⚠️ Urgence

CISA KEV (ajouté le 26 octobre 2026). CVSS 4.0 : 9.2. PoC public partiel disponible. Patcher immédiatement vers PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Les branches PHP antérieures à 8.2 (7.x, 8.0, 8.1) ne recevront pas de correctif officiel — migration obligatoire.

### Comment savoir si je suis vulnérable ?

Exécutez php -v pour vérifier votre version PHP. Vulnérable si version antérieure à 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Sur Debian/Ubuntu : dpkg -l | grep php. Sur CentOS/RHEL : rpm -qa | grep php. Pour détecter des webshells potentiellement déposés : find /var/www -name "*.php" -newer /var/www/html/index.php -mtime -30 | head -20.

### Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.
[Demander un audit](#)