PHP2Shell : exploitation active confirmée par le CERT-FR

Les faits

Le 20 octobre 2026, deux vulnérabilités critiques dans l'interpréteur PHP ont fuité dans l'espace public avant la fin de la fenêtre de divulgation coordonnée. Baptisées PHP2Shell — en référence au célèbre ShellShock de 2014 — ces failles permettent à un attaquant distant non authentifié d'exécuter du code arbitraire sur tout serveur hébergeant du code PHP. Le 26 octobre 2026, le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-014 pour confirmer des tentatives d'exploitation actives détectées sur des systèmes rattachés à des organisations françaises.

Les deux CVE exploitent des mécanismes distincts. CVE-2026-109618 tire parti d'une corruption mémoire hors limites (out-of-memory corruption) dans le moteur d'exécution PHP : en forgeant certaines structures de données en entrée, un attaquant peut écraser des pointeurs de fonctions adjacents dans le heap et rediriger le flux d'exécution. CVE-2026-109619 exploite quant à elle un état global obsolète (stale global state) lors du traitement de requêtes HTTP concurrentes : sous certaines conditions de course, la réutilisation d'un état précédent permet l'injection de code. Les deux vulnérabilités sont notées CVSS 4.0 à 9.2 — Critique, sans authentification requise ni interaction utilisateur.

La chronologie de la divulgation est particulièrement alarmante. Amazon Threat Intelligence a documenté une première tentative d'exploitation le 17 octobre 2026, soit trois jours avant la publication publique. Un acteur malveillant avait connaissance de la faille avant sa divulgation — probablement via le reverse engineering d'un patch en préparation. PHP2Shell était donc à l'état de 0-day exploité en conditions réelles au moment où les correctifs ont été publiés.

Dans les 48 heures suivant la divulgation, les données de la plateforme de honeypots globale de Zscaler font état de 1 156 tentatives d'exploitation provenant de 156 adresses IP uniques ciblant 70 organisations distinctes à travers le monde. Ces chiffres ne représentent qu'une fraction du trafic malveillant réel. La vélocité d'exploitation est comparable à celle observée lors de Log4Shell en décembre 2021, où les premières vagues d'attaques avaient débuté dans les 72 heures suivant la divulgation de CVE-2021-44228.

L'équipe PHP a publié les correctifs le 21 octobre 2026 pour les quatre branches maintenues : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions EOL — PHP 8.1, 8.0, 7.4 et antérieures — sont également vulnérables mais ne bénéficieront d'aucun binaire corrigé officiel. Le projet PHP a publié des backports en code source uniquement pour 7.4, 8.0 et 8.1, laissant les organisations sur ces branches sans solution packagée. Ces versions représentent selon les estimations de W3Techs encore 35 % des installations PHP actives dans le monde.

PHP étant le langage serveur de 77 % des sites web dont le langage est identifiable (source : W3Techs, octobre 2026), la surface d'attaque est colossale. Les plateformes les plus exposées incluent WordPress (43 % du web mondial), Drupal, Joomla, WooCommerce, Magento, ainsi que les applications Laravel, Symfony et les ERP basés PHP comme Dolibarr. Les secteurs e-commerce, CMS éditoriaux, portails RH et applications métier internes sont directement dans la ligne de mire.

L'exploitation ne requiert aucun outil sophistiqué. Les premières analyses de code PoC publiées par la communauté montrent qu'une simple requête HTTP POST spécialement forgée suffit à déclencher CVE-2026-109618 et à obtenir un shell distant en quelques secondes. Des scripts d'exploitation automatisés ont commencé à circuler sur des forums clandestins dès le 22 octobre. Les botnets connus — notamment Mirai et ses variants — ont déjà intégré des modules d'exploitation PHP2Shell d'après les rapports de Sophos et de plusieurs CSIRT nationaux.

Au 28 octobre 2026, CVE-2026-109618 et CVE-2026-109619 figurent toutes deux au catalogue KEV (Known Exploited Vulnerabilities) de la CISA, avec une deadline de remédiation fixée au 11 novembre 2026 pour les agences fédérales américaines. En France, l'ANSSI a transmis une notification directe aux opérateurs d'importance vitale (OIV) et aux opérateurs de services essentiels (OSE). La criticité de cet incident est comparable à Log4Shell en termes de surface d'attaque mondiale et de vélocité d'exploitation.

Impact et exposition

Tout serveur web exécutant PHP dans une version antérieure aux correctifs du 21 octobre 2026 est potentiellement compromis. Les environnements les plus exposés sont les serveurs publics hébergeant WordPress, Drupal, Joomla, WooCommerce, Magento, les applications Laravel et Symfony, les ERPs PHP (Dolibarr, EspoCRM), et les portails web personnalisés. Les hébergeurs mutualisés qui n'ont pas mis à jour leur pile PHP exposent simultanément des milliers de sites clients. Les images Docker officielles PHP non mises à jour sont également affectées. L'exploitation ne requiert aucune condition préalable : il suffit que l'interpréteur traite des requêtes réseau provenant de l'attaquant.

Recommandations

• Mise à jour immédiate : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 selon votre branche. Vérifiez avec php -v et appliquez dans les 24 heures.
• Audit des versions EOL : Identifiez tous les serveurs PHP 8.1, 8.0 ou 7.x de votre parc et planifiez leur migration immédiate. Isolez-les du réseau public en attendant.
• Activation WAF : ModSecurity avec le ruleset OWASP CRS 4.x et les WAF cloud majeurs ont publié des règles spécifiques PHP2Shell. Activez-les en priorité.
• Désactivation des fonctions dangereuses : Dans php.ini, ajoutez disable_functions = system,exec,shell_exec,passthru,proc_open,popen comme défense en profondeur sur les environnements non encore patchés.
• Investigation forensique : Auditez les logs web depuis le 17 octobre 2026 à la recherche de requêtes POST anormales sur des endpoints PHP. Une compromission silencieuse est possible si la mise à jour n'a pas été appliquée rapidement.