Pas php.net · Pas la NVD · Pas la CISA

Suivi des vulnérabilités PHP

Note d’information non officielle sur les vulnérabilités de sécurité PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Alerte de sécurité

PHP2Shell : mettez PHP à jour. C’est le seul correctif complet.

CVE-2026-109618 et CVE-2026-109619 sont des failles critiques de PHP lui-même, permettant une exécution de code à distance sans authentification. Le projet PHP a publié des correctifs le 21 octobre 2026 pour les branches maintenues 8.2 à 8.5. Redémarrez PHP après la mise à jour. Un pare-feu ne la remplace pas.

Étapes de correction

Versions affectées

Quelles versions de PHP sont affectées par PHP2Shell ?

Les seuls numéros de version amont qui corrigent les deux CVE sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ou des versions ultérieures de la même branche. Pour les branches plus anciennes, chaque affirmation mérite une réserve, car les analyses publiques n’utilisent pas de plage commune.

Dernière mise à jour

État amont après les versions du 21 octobre 2026. « Corrigé » signifie qu’une version officielle de PHP existe, pas que vos paquets la contiennent déjà.
BrancheÉtat dans les sources citéesCorrectif amont
8.5 avant 8.5.12Listée comme affectée par l’équipe sécurité de PHP8.5.12
8.4 avant 8.4.27Listée comme affectée par l’équipe sécurité de PHP8.4.27
8.3 avant 8.3.36Listée comme affectée par l’équipe sécurité de PHP8.3.36
8.2 avant 8.2.35Listée comme affectée par l’équipe sécurité de PHP8.2.35
8.1Pas de version officielle. PHP indique avoir publié un rétroportage minimal du code source.Mise à niveau ou rétroportage vérifié (fournisseur / sources)
8.0 et 7.4Comme 8.1 : rétroportages du code source, pas de nouvelle version amont.Mise à niveau ou rétroportage vérifié (fournisseur / sources)
7.3 et antérieures, jusqu’à 5.4Wiz, Google Cloud et Cloudflare décrivent un impact à partir de 5.4. Selon Expel, PHP ne s’est pas prononcé sur 7.3 et antérieures.Aucun correctif amont sur ces lignes. Planifiez le remplacement.
PHP 5 avant 5.4Pas la limite basse chez Wiz, Google Cloud ou Cloudflare. La FAQ de watchTowr antérieure à l’avis citait PHP 5 en général.Ne pas exposer sur Internet. Cette ligne est incertaine, ce n’est pas un certificat d’innocuité.

Branche par branche

Les anciennes versions de PHP ont d’autres failles critiques

Corriger PHP2Shell ne rend pas une ancienne branche sûre. Le projet indépendant Vulnerability Charts liste pour chaque version de PHP le score le plus élevé connu. On y voit par exemple que les versions antérieures à la mi-2026 de chaque branche étaient déjà touchées par des failles critiques plus anciennes. À utiliser comme vue d’ensemble ; le changelog PHP fait foi.

Exemple : 8.3.35 ou PHP/8.2.34. Le numéro de correctif est obligatoire.

Rien n’a encore été vérifié. Le résultat reste dans votre navigateur.

Pourquoi le tableau comporte un trou sous 8.2

Le message oss-security de Jakub Zelenka cite comme affectées les quatre branches prises en charge avant leurs niveaux de correctif respectifs. Cette phrase concerne les versions que l’équipe sécurité a corrigées par des publications. Elle ne dit pas, à elle seule, que 8.1 n’est pas affectée. L’avis de php.net indique que 8.1 et antérieures ne reçoivent plus de mises à jour du projet PHP, renvoie aux rétroportages des distributions et des fournisseurs LTS, et cite des rétroportages minimaux du code source pour 7.4, 8.0 et 8.1 destinés à ceux qui compilent eux-mêmes. Un rétroportage prouve que ces trois branches étaient affectées – mais ce n’est pas une version prise en charge installable depuis php.net.

Wiz affirme que les failles remontent à PHP 5.4. Google Cloud écrit « toutes les versions de PHP de 5.4 à 8.5.11 », Cloudflare « PHP 5.4 ou plus récent ». ThreatCluster note que session.upload_progress existe depuis PHP 5.4.0 et est activé par défaut ; c’est un chemin pour CVE-2026-109619, pas la preuve que tous les chemins s’arrêtent à 5.4. watchTowr écrivait le 20 octobre que PHP 5, 7 et 8 étaient affectés dans leur ensemble. Le message ultérieur d’Expel est la correction prudente : 7.3 et antérieures ne sont pas explicitement confirmées par PHP, mais tout PHP non maintenu exposé au web doit de toute façon être considéré à risque.

Le vérificateur ne compare que des numéros de version

Il s’exécute entièrement dans votre navigateur et n’envoie la version nulle part. Il peut dire si un triplet vaut au moins 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Il ne peut pas savoir si Ubuntu, RHEL, cPanel ou un fournisseur de conteneurs a rétroporté le correctif sur un numéro plus ancien, ni quel binaire votre serveur web a réellement chargé. Après la mise à niveau, comparez php-fpm -v ou le build du module Apache, redémarrez le service et vérifiez à nouveau.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

  1. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  2. CVE-2026-109618: PHP 8.2–8.5 RCE via OOM corruption — oss-security (Jakub Zelenka, PHP security team)
  3. Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
  4. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
  5. Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619 — Google Cloud
  6. Cloudflare deploys protections against php2shell vulnerability — Cloudflare
  7. FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
  8. Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
  9. Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
  10. AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
  11. Security advisory: critical unauthenticated RCE in PHP (“php2shell”) — University of Toronto Information Security
  12. PHP: per-version vulnerability chart — Vulnerability Charts (independent project)