Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom « PHP2Shell ». Leur exploitation peut permettre à un attaquant non authentifié d’exécuter du code à distance sur un serveur PHP vulnérable. Le risque concerne notamment les installations exposées au web et plusieurs modes d’exécution courants.
Les versions corrigées
Les branches maintenues ont reçu les versions PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions antérieures à ces niveaux restent concernées. Les environnements PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed doivent être vérifiés. Les branches anciennes et en fin de vie nécessitent une stratégie de migration ou un support étendu.Pourquoi la situation est prioritaire
Le niveau de gravité annoncé est élevé et les vulnérabilités touchent le moteur PHP lui-même. Une application comme WordPress, Drupal ou Joomla peut donc être indirectement exposée via son environnement PHP, même si son propre code et ses extensions sont à jour. La mise à jour du CMS ne remplace pas la correction du runtime PHP.Les contrôles à réaliser
Commencez par inventorier les serveurs PHP accessibles depuis Internet et confirmer la version réellement chargée. Appliquez le correctif, redémarrez les services concernés puis vérifiez les journaux et le bon fonctionnement des applications. Si une correction immédiate est impossible, l’isolement temporaire du service vulnérable doit être évalué. Après le patch, recherchez également d’éventuelles traces d’activité suspecte antérieure.À retenir
Mettre PHP à niveau ne suffit pas : il faut aussi vérifier l’exposition Internet, les journaux, les dépendances et l’état de sécurité du serveur.
