PHP2Shell : 22,6 millions de serveurs exposés, patch urgent

Les faits

Le 22 octobre 2026, l'équipe de sécurité PHP a publié un patch d'urgence corrigeant deux vulnérabilités critiques découvertes par Palo Alto Networks Unit 42 : CVE-2026-109618 et CVE-2026-109619, baptisées collectivement PHP2Shell par la communauté sécurité. Ces deux failles aboutissent à une exécution de code shell sur les serveurs affectés et obtiennent chacune un score CVSS 4.0 de 9.2. Elles affectent PHP 8.1, 8.2, 8.3 et 8.4 dans leurs versions antérieures aux correctifs du 22 octobre.

CVE-2026-109618 exploite une gestion incorrecte des erreurs de dépassement mémoire (out-of-memory). Lorsque PHP rencontre une erreur OOM lors du traitement d'une requête, la libération de la mémoire de requête laisse certaines régions non initialisées. Ces régions conservent des données arbitraires provenant d'allocations précédentes. Un attaquant capable de provoquer une erreur OOM contrôlée — via des requêtes volumineuses ou des structures de données imbriquées profondes — peut exploiter cette condition pour contrôler le contenu de zones mémoire critiques et y injecter du code exécutable.

CVE-2026-109619 est distincte et complémentaire : elle affecte la gestion des erreurs fatales. Lorsqu'une erreur fatale est déclenchée, PHP libère la mémoire globale mais laisse des pointeurs (dangling pointers) vers les régions libérées. Ces pointeurs peuvent être réutilisés par un attaquant capable de déclencher une erreur fatale contrôlée — condition atteignable via des scripts PHP manipulant des objets spéciaux, des closures complexes ou certains opérateurs de gestion d'exceptions. La combinaison des deux CVE crée une surface d'exploitation étendue couvrant une grande variété de configurations PHP.

Palo Alto Networks Unit 42, dans son analyse du 25 octobre 2026, a quantifié l'exposition : 22,6 millions d'instances PHP accessibles sur internet présentent une version vulnérable. Ce chiffre comprend des applications web standalone, des CMS (WordPress, Joomla, Drupal, TYPO3), des frameworks (Laravel, Symfony, CodeIgniter, Yii), des applications e-commerce (Magento, PrestaShop, WooCommerce) et des applications métier custom. PHP reste le langage serveur le plus déployé sur le web, présent dans environ 75% des sites avec un backend dynamique selon les données W3Techs d'octobre 2026.

Des preuves d'exploitation active ont été détectées dans les logs de honeypots opérés par CyberNews Labs dès le 24 octobre 2026 — 48 heures après la publication du patch. La fenêtre entre divulgation publique et premières tentatives d'exploitation automatisées ne cesse de se réduire : plusieurs semaines en 2020, quelques jours en 2023, moins de 72 heures en 2026. Les tentatives observées ciblent principalement des applications WordPress via des requêtes structurées dans les endpoints d'upload et les API REST, ainsi que des applications Laravel via des paramètres de formulaire malformés.

Cisco a émis le 24 octobre 2026 l'advisory cisco-sa-php-october26-Jj384Daq confirmant que plusieurs produits Cisco embarquant PHP en version bundlée sont affectés : Cisco Unity Connection, Prime Infrastructure et Identity Services Engine (ISE). Cisco travaille à des patches spécifiques, mais avertit que les mises à jour PHP système ne s'appliquent pas pour le PHP intégré dans les appliances Cisco. Les organisations utilisant ces produits doivent suivre les bulletins Cisco séparément des mises à jour PHP standard.

La Singapore Cyber Security Agency (CSA) a émis l'alerte AL-2026-154 le 25 octobre 2026, recommandant une mise à jour urgente de toutes les installations PHP. CERT-EU a relayé l'advisory le même jour. Les organisations françaises dépendant de PHP pour leurs applications critiques — secteurs e-commerce, santé, administration — doivent traiter cette mise à jour avec la même urgence que les correctifs Windows du Patch Tuesday.

PHP 7.x, dont le support de sécurité a pris fin en décembre 2022, ne recevra aucun patch pour CVE-2026-109618 et CVE-2026-109619. Les serveurs fonctionnant encore sous PHP 7.x restent définitivement exposés. Maintenir PHP 7.x en production en 2026 représente un risque opérationnel inacceptable qui doit être traité comme une priorité de dette technique.

Pour les organisations ne pouvant pas mettre à jour PHP immédiatement, des mesures de mitigation partielles existent. La limitation stricte de la mémoire PHP (memory_limit configuré au minimum nécessaire) peut réduire la surface d'exploitation de CVE-2026-109618. Le déploiement de règles WAF spécifiques anti-PHP2Shell — disponibles auprès de ModSecurity, Cloudflare, Imperva et F5 — peut filtrer certains vecteurs d'exploitation connus. Ces mesures ne constituent pas une protection garantie contre des exploits ciblés.

Impact et exposition

Tous les serveurs PHP en versions 8.1 avant 8.1.33, 8.2 avant 8.2.28, 8.3 avant 8.3.19 et 8.4 avant 8.4.6 sont affectés. PHP 7.x ne recevra aucun patch. Avec 22,6 millions d'instances potentiellement touchées et une exploitation active déjà constatée, PHP2Shell est l'une des vulnérabilités infrastructure les plus larges de 2026.

Recommandations

• Mettre à jour PHP vers 8.1.33, 8.2.28, 8.3.19 ou 8.4.6 — vérifier la version active avec php -v
• Vérifier les produits Cisco affectés via l'advisory cisco-sa-php-october26-Jj384Daq
• Activer la journalisation étendue et surveiller les requêtes volumineuses, erreurs 500 répétées et uploads atypiques
• Déployer ou mettre à jour les règles WAF avec les signatures PHP2Shell disponibles
• Migrer les instances PHP 7.x vers PHP 8.x sans délai — elles ne recevront jamais de correctif pour ces CVE