PHP2Shell : deux failles RCE critiques patchées en urgence

Ce qui s'est passé

Le lundi 20 octobre 2026, le chercheur en sécurité Florian Roth a posté sur le réseau social X une observation qui a immédiatement mis en alerte la communauté de sécurité mondiale : il venait d'identifier ce qui ressemblait à une vulnérabilité d'exécution de code à distance dans le cœur de PHP, avec un score CVSS potentiel de 10.0. Roth indiquait que des détails techniques étaient prévus pour le lendemain, le 20 octobre, et que seul PHP 8 recevrait des correctifs — laissant entendre que les versions PHP 5 et 7, toujours utilisées en production dans une proportion non négligeable d'organisations, resteraient définitivement vulnérables.

Cette publication, bien qu'incomplète, a suffi à déclencher la réaction immédiate de l'équipe de sécurité de PHP. Dans les heures suivantes, les mainteneurs ont confirmé l'existence de deux vulnérabilités distinctes, officiellement désignées CVE-2026-109618 et CVE-2026-109619, et ont annoncé qu'une version de sécurité hors-bande serait publiée le mercredi 21 octobre 2026 à 14h00 UTC. Ce type de publication anticipée — lorsque des informations techniques fuient avant l'embargo coordonné — est précisément le scénario que le processus de divulgation responsable cherche à éviter.

Les deux failles sont classées comme vulnérabilités d'exécution de code à distance non authentifiée (unauthenticated RCE). La notation officielle de l'équipe PHP s'établit à CVSS v4.0 9.2, légèrement en deçà du score initial de 10.0 mentionné par Roth, mais largement suffisante pour justifier un traitement d'urgence. Les détails techniques précis n'ont pas été publiés avant le patch, conformément aux bonnes pratiques, mais des chercheurs ont indiqué avoir reproduit l'une des deux vulnérabilités dans un environnement de test dès le 20 octobre, ce qui signifie que la fenêtre d'exposition avant patch était quasi nulle.

L'ampleur de la surface d'attaque est considérable. La société de sécurité Mallory a réalisé une analyse de la surface d'attaque en interrogeant Shodan le 20 octobre 2026. Résultat : environ 884 000 hôtes exposés sur Internet affichaient dans leur bannière HTTP une version de PHP 8.1 ou antérieure, représentant 59 % des 1,5 million d'hôtes signalant une version PHP quelconque. Ces 884 000 serveurs constituent la population la plus à risque immédiatement après la publication du patch, car les détails techniques permettant l'exploitation seront inévitablement accessibles très rapidement.

La campagne de divulgation a été baptisée PHP2Shell par The Hacker News, en référence aux deux CVE et à l'objectif final d'un attaquant exploitant ces failles : obtenir un shell distant sur le serveur cible. Ce nom de campagne rappelle des précédents historiques comme ProxyLogon (Exchange, 2021) ou CVE-2021-44228 (Log4Shell), où la simplicité d'exploitation combinée à la présence ubiquitaire du logiciel avaient entraîné des campagnes d'exploitation massives dans les heures suivant la divulgation publique des détails techniques.

Du côté du contexte d'exploitation, les chercheurs ont précisé que les failles affectent PHP en mode CGI et FPM (FastCGI Process Manager), les deux modes de déploiement les plus courants dans les environnements de production modernes. Les configurations utilisant le module Apache mod_php seraient potentiellement moins exposées selon certaines analyses préliminaires, mais ce point n'a pas été officiellement confirmé par l'équipe PHP avant la publication de cet article. Nginx avec PHP-FPM, qui représente la majorité des déploiements modernes, serait dans le périmètre d'exposition.

L'écosystème applicatif PHP est au cœur du problème. WordPress alimente à lui seul environ 43 % des sites web mondiaux selon W3Techs, et la grande majorité des installations WordPress utilisent PHP. Drupal, Joomla, PrestaShop, Magento, Laravel, Symfony : tous ces frameworks et CMS partagent la même dépendance au runtime PHP. Une exploitation réussie de CVE-2026-109618 ou CVE-2026-109619 permettrait de prendre le contrôle total du serveur hébergeant ces applications, avec accès aux bases de données, aux clés d'API, aux certificats et à l'intégralité du code source.

L'équipe PHP a indiqué que le patch a été développé en moins de 48 heures après la confirmation interne des vulnérabilités, ce qui témoigne de la réactivité de la communauté. Les versions corrigées sont disponibles sur le site officiel php.net pour les branches 8.2, 8.3 et 8.4. Les utilisateurs de PHP 7.x et PHP 5.x n'auront pas de correctif officiel, ces branches étant en fin de vie. Pour ces derniers, la recommandation est une migration immédiate vers PHP 8.x, ou à défaut, la mise en place de règles WAF (Web Application Firewall) pour bloquer les vecteurs d'attaque potentiels jusqu'à la migration.

Pourquoi c'est important

PHP reste, contre toute attente, le langage côté serveur le plus utilisé sur Internet en 2026. Malgré la montée en puissance de Node.js, Python/Django, Go et Rust pour les nouvelles applications, l'héritage d'une décennie de développement web en PHP est colossal. Des dizaines de millions de sites web, des milliers d'applications métier internes et d'innombrables systèmes d'information critiques — notamment dans le secteur public français — fonctionnent encore sur PHP. Une vulnérabilité de cette sévérité dans le runtime PHP lui-même, et non dans un framework ou une bibliothèque tierce, est d'une rareté et d'une gravité exceptionnelles.

La divulgation prématurée par Florian Roth pose également une question éthique et opérationnelle de fond. Si la divulgation responsable coordonnée (CVD) est la norme recommandée par toutes les agences de cybersécurité — ANSSI, CISA, ENISA — la réalité montre que des informations filtrent régulièrement avant les embargos. Cela crée une asymétrie temporaire où les acteurs malveillants qui surveillent activement les flux de veille sécurité peuvent avoir connaissance d'une vulnérabilité avant que les défenseurs n'aient reçu les correctifs. La fenêtre PHP2Shell — environ 18 heures entre la première publication de Roth et le patch officiel — illustre parfaitement ce risque.

Pour les équipes DevSecOps et les responsables de plateformes hébergeant des applications PHP, l'incident PHP2Shell doit servir de catalyseur pour accélérer les plans de migration des versions PHP en fin de vie. En France, l'ANSSI rappelle régulièrement dans ses guides que l'utilisation de logiciels hors support constitue une non-conformité dans tout référentiel de sécurité sérieux. Les organisations encore sur PHP 7.x ou 5.x — qui n'auront pas de patch pour ces CVE — sont en position de dette technique critique qui doit être adressée sans délai, indépendamment des contraintes opérationnelles invoquées.

Du point de vue de la gestion des vulnérabilités, PHP2Shell illustre aussi l'importance des mécanismes de mise à jour automatique et de la surveillance de la surface d'attaque externe. Les organisations capables de déployer un patch critique en moins de deux heures après sa publication sont celles qui auront traversé cet épisode sans incident. Celles qui mettront plusieurs jours — voire semaines — à patcher leurs serveurs PHP représentent la cible principale des campagnes d'exploitation qui suivront inévitablement la publication des détails techniques complets.

Ce qu'il faut retenir

• Mettre à jour PHP vers les versions 8.2.x, 8.3.x ou 8.4.x corrigées publiées le 21 octobre 2026 — traiter comme une urgence P1 sur tous les environnements de production.
• PHP 7.x et 5.x ne recevront pas de correctif : migrer en urgence ou déployer des règles WAF en attendant la migration.
• Auditer les 884 000 hôtes exposés identifiés par Shodan : si votre organisation fait partie de ce périmètre, considérez que des tentatives d'exploitation démarreront dans les 24-48h suivant la publication des détails techniques.