Ces informations peuvent manquer de recul, changer à mesure que l’événement progresse ou ne pas prendre en compte des développements récents. Le titre lui-même peut être provisoire. N’hésitez pas à l’améliorer en veillant à citer vos sources. La dernière modification de cette page a été faite le 22 octobre 2026 à 10:27.
PHP2Shell (CVE-2026-109618 et CVE-2026-109619) désigne deux vulnérabilités critiques annoncées le 20 octobre 2026 dans PHP—langage de programmation très répandu pour la programmation web— découvertes par les entreprises Wiz, Inc., OpenAI et Calif,. Les détails approfondis sur ces failles sont sous embargo avant une divulgation coordonnée des détails et des correctifs planifiée pour le 21 octobre 14h0(UTC). Finalement, ils sont rendus publics le 21 octobre à 13h34(UTC),,,,,.
Le 20 octobre, vers 20h0(UTC), Calif, une des entreprises de sécurité ayant signalé les problèmes, a publié par «erreur» une vidéo avec l'outil «PHP2Shell» qui permet d'exploiter de manière automatisée ces vulnérabilités sur de nombreux logiciels. Des copies de la vidéo, alors supprimée, se sont mises à circuler sur les réseaux sociaux et ont contribué à accélérer le développement de diverses preuves de concept d'exploitation des failles, dont la diffusion s'est ensuite accrue le 21 octobre. Le 21 octobre à 7h41(UTC), six heures avant la publication coordonnée, Chainguard a unilatéralement enfreint l'embargo et publié des images compilées contenant le correctif.
Les correctifs sont disponibles à partir de PHP 8.2 (8.2.35, 8.3.36, 8.4.27, et 8.5.12); la 8.1 et les versions antérieures ne recevant plus de mises à jour. Tout projet informatique utilisant PHP est fortement encouragé à effectuer la mise à jour immédiatement. Les distributions Linux et les fournisseurs de versions LTS (support à long terme) ont reçu les correctifs à l'avance,. L'équipe de sécurité PHP fournit des rétroportages de code source minimaux pour PHP 7.4, PHP 8.0 et PHP 8.1. Elle partage aussi des mesures partielles pour réduire l'exposition à des vecteurs d'attaque en précisant qu'elles ne suffiront pas.
Les publications de plusieurs entreprises, respectivement Wiz, Inc., OpenAI et Calif, rendues publiques au même moment, laissent penser à une stratégie de communication organisée à des fins privées et mercantiles pour mettre en avant les solutions de ces mêmes entreprises,,,. Dont le nouveau projet PatchThePlanet d'OpenAI annoncé à la même occasion.
Contexte
Les premières fuites non confirmées évoquent une exécution de code à distance (RCE) permettant à un attaquant non authentifié d'exécuter du code arbitraire sur des serveurs web tournant sous PHP. L'équipe de sécurité de PHP attribue à chacune des deux CVE identifiées une note de 9,2 sur 10 (critique) au titre du Common Vulnerability Scoring System (CVSS) v4.0, sans en décrire la nature technique dans un premier temps,. Les mainteneurs de PHP annoncent la sortie du correctif avant sa publication officielle, invitant les utilisateurs à se préparer afin de mettre à jour leurs systèmes dès la disponibilité du correctif.
Face à la criticité annoncée de ces vulnérabilités, le Service de cybersécurité pour les institutions, organes et organismes de l'Union européenne (CERT-UE) recommande dans son billet Security Advisory 2026-018«de se préparer [pour les organisations] à la mise à jour immédiate des systèmes affectés. Si cette mise à jour immédiate n’est pas possible, les organisations devraient envisager d’isoler les applications exposées à Internet des réseaux publics jusqu’à la disponibilité d’un correctif»,. Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques français (CERT-FR) communique son alerte pour ces vulnérabilités dans son bulletin en partageant une «une mesure d'atténuation [qui] ne réduit la surface d'attaque que contre l'une des deux vulnérabilités» et recommande «d'isoler les équipements affectés puis de procéder à la migration vers une version maintenue et avec les derniers correctifs de sécurité dès publication du correctif éditeur».
De son côté, Cloudflare—dont les services très utilisés servent souvent d'intermédiaire devant les sites web avant la connexion entre le client et le serveur— annonce avoir ajouté en urgence des règles à son pare-feu applicatif (WAF) pour bloquer des «schémas de requêtes anormales». D’après Dane Knecht, directeur technique de Cloudflare, des vecteurs d'attaque précoces seraient déjà observés. L'entreprise recommande l'application sans délai du correctif dès publication.
Selon le média spécialisé Next, des éléments d'information non confirmés relatifs à l'exploitation des deux failles circulent déjà sur les réseaux sociaux. Plusieurs grands ou importants sites web interrompent leurs activités durant la phase d'embargo, dont 4chan, DeviantArt, la Commission nationale de l'informatique et des libertés (CNIL) française, ou encore le site de la Seconde Chambre des États généraux des Pays-Bas ou de certains de services publicsfinlandais. Une vidéo non confirmée présente un outil d'exploitation des deux vulnérabilisés baptisé PHP2Shell —soit utiliser PHP comme porte d'entrée pour accéder illégitimement au shell, l'interface humain-machine qui permet d'accéder aux services d'un système d'exploitation[réf.souhaitée]— qui exploiterait ces failles sur des serveurs web en cours d'exécution avec des logiciels majeurs, dans des versions récentes, utilisant tous PHP:
