Qu’est-ce que PHP2Shell ? Deux failles RCE critiques dans PHP

Ce qui est exposé selon le projet PHP

L’avis de php.net du 21 octobre couvre toute installation PHP qui sert des requêtes web et cite PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet situe le risque le plus élevé sur mod_php : un exploit démontré permet à une requête non authentifiée de déclencher l’attaque avant l’exécution du code applicatif. Le durcissement au niveau de l’application n’aide pas sur ce chemin.

Le même avis indique que seule une mise à jour est une solution complète. Les réglages provisoires réduisent la surface d’attaque pour certains chemins et ne rendent pas une installation sûre. La CISA arrive à la même conclusion : corriger immédiatement et déconnecter les systèmes basés sur PHP si aucune mise à jour n’est possible, y compris explicitement PHP 8.1 et antérieures.

En quoi les deux failles diffèrent

Toutes deux se trouvent dans du code que presque chaque requête traverse. La PHP Foundation décrit CVE-2026-109618 comme une gestion du manque de mémoire pouvant laisser des données internes partiellement initialisées, que PHP traite ensuite comme valides. Elle décrit CVE-2026-109619 comme une erreur fatale au mauvais moment, après laquelle un état interne pointe vers la mémoire d’une requête précédente, si bien qu’une requête ultérieure sur le même worker utilise de la mémoire libérée. Wiz et Cloudflare citent, outre l’exécution de code à distance et le déni de service, la divulgation de mémoire du processus pouvant contenir des secrets d’autres requêtes. Cette page ne décrit aucune construction d’exploit.

• CVE-2026-109618Corruption OOM. CVSS v4.0 9.2. GHSA-w8hw-w9fx-j79w.
• CVE-2026-109619État global obsolète. CVSS v4.0 9.2. GHSA-6wmf-4rv5-p3rp.

Quelles versions

Les plages qui circulent ne sont pas identiques, et les unifier reviendrait à inventer une précision que les éditeurs n’ont pas publiée. Le message oss-security de l’équipe sécurité de PHP sur CVE-2026-109618 cite PHP 8.2 avant 8.2.35, 8.3 avant 8.3.36, 8.4 avant 8.4.27 et 8.5 avant 8.5.12. Ce sont les branches dotées de versions publiées. Le projet a aussi indiqué que 8.1 et antérieures ne sont plus prises en charge en amont et qu’il a publié des rétroportages minimaux du code source pour 7.4, 8.0 et 8.1.

Wiz affirme que toute version de PHP de la dernière décennie environ, jusqu’à 5.4, est touchée par au moins une des failles. Google Cloud cite 5.4 à 8.5.11, Cloudflare PHP 5.4 ou plus récent. La FAQ de watchTowr, publiée pour la première fois le 20 octobre avant l’avis de l’éditeur, cite PHP 5, 7 et 8. Expel voit dans les rétroportages la preuve que 7.4, 8.0 et 8.1 sont touchées et note que PHP ne s’est pas prononcé sur 7.3 et antérieures ; Expel conseille de considérer tout PHP non maintenu exposé au trafic web comme à risque. Le tableau des versions met ces affirmations côte à côte.

Exploitation : des tentatives, pas un nombre confirmé d’intrusions

• AWS indique qu’un honeypot MadPot a enregistré le 17 octobre 2026, quatre jours avant la divulgation, une tentative d’exploitation depuis l’IP d’un réseau d’anonymisation commercial. Le 21 octobre, d’autres tentatives et des exploits de preuve de concept sont apparus quelques heures avant la fin de l’embargo ; on ignore si l’un d’eux aurait réussi sur de vrais systèmes. Après le correctif, AWS décrit des tentatives d’exploitation massives.
• Cloudflare indique avoir observé du trafic d’attaque après la fuite de détails avant la publication officielle, et que des attaquants ont modifié leurs charges pour contourner les règles WAF. Cloudflare ne donne aucun nombre de compromissions réussies dans l’article consulté.
• watchTowr indique observer des tentatives d’exploitation actives des deux CVE. SecurityWeek rapporte que watchTowr n’a observé aucune tentative réussie.
• L’alerte de la CISA du 21 octobre indique que la CISA n’avait observé aucune exploitation au moment de la publication, et appelle néanmoins à corriger immédiatement.
• Expel (au 21 octobre 2026, 20 h 00 UTC) n’avait confirmé aucune exploitation chez ses clients, et aucune des CVE ne figurait au catalogue KEV de la CISA. La FAQ de watchTowr du 22 octobre indique toujours KEV comme non listé, de même que Tanium pour la mise à jour KEV du 21 octobre à 14 h 04 UTC. Ce site a reconsulté le flux JSON KEV de la CISA le 22 octobre 2026 vers 08 h 05 UTC : la version 2026.10.21 du catalogue (publiée le 21 octobre à 14 h 04 UTC) ne contenait toujours aucune des deux CVE.

Du code public de preuve de concept est signalé par AWS, le Centre canadien pour la cybersécurité (comme information de source ouverte) et Expel. Expel ajoute que le code qui circule peut être non vérifié, voire malveillant. Nous ne le lions ni ne le reproduisons.

L’ampleur, avec prudence

Wiz retient comme chiffre clé que PHP fait tourner la grande majorité des sites web ; Cloudflare parle de près de 70 %. C’est une part de sites web, pas un nombre de serveurs exploitables. L’estimation reprise par The Record avoisine 5,1 millions d’adresses IP selon une analyse VirusTotal, avec les réserves exposées sur la page d’accueil. ThreatCluster indique qu’environ quatre serveurs PHP détectés sur cinq ne révèlent pas leur version.

PHP est aussi présent dans des appliances et des panneaux d’hébergement. Le NCSC britannique renvoie à un inventaire du NCSC-NL des produits qui dépendent de PHP, comme liste de départ et non comme recensement complet. Google Cloud indique que sa plateforme n’est pas vulnérable en tant que telle, mais que les clients utilisant PHP sur App Engine, Cloud Run, GKE ou des images Marketplace peuvent l’être.

La découverte selon les acteurs impliqués

Wiz Research affirme que les failles existaient depuis plus d’une décennie et que des modèles de pointe ont rendu une chaîne d’exploitation praticable. Google Cloud cite Wiz et indique que Gemini 4 Argon a contribué à la découverte, au développement de l’exploit, à la détection et à la validation du correctif. The Record rapporte que la PHP Foundation a déclaré qu’une revue par IA avait donné l’alerte pour la première fois en août 2026, des indices existant dès 2024. Ce sont les déclarations des organisations concernées. Elles ne changent rien à la remédiation : mettre à jour.