Chronologie
Chronologie de PHP2Shell : fuite, correctifs et tentatives d’exploitation
Les heures sont indiquées telles que la source citée les donne. Les 13 h 40 UTC de l’ENISA et l’embargo de 14 h 00 UTC d’AWS figurent tous deux ici, car les deux documents existent. Ce n’est pas un journal d’incident issu de nos propres capteurs.
Dernière mise à jour
2024, puis août 2026
Premiers indices selon la PHP Foundation
The Record rapporte que la PHP Foundation a déclaré que des indices des failles étaient apparus en 2024 et qu’une revue par IA avait donné l’alerte pour la première fois en août 2026. Nous n’avons pas vérifié cette chronologie interne au-delà du récit de The Record.
17 octobre 2026
Tentative AWS MadPot pendant l’embargo
Amazon Threat Intelligence indique qu’un honeypot a vu une tentative d’exploitation de PHP2Shell depuis l’adresse d’un réseau d’anonymisation commercial – quatre jours avant la divulgation. On ignore comment les informations d’exploitation ont fuité, et si la tentative aurait fonctionné sur un vrai système.
20 octobre 2026
Rapports de fuite et annonce d’une version d’urgence
La FAQ de watchTowr est datée de 19 h 35 UTC et prévoyait alors une annonce de l’éditeur le 22 octobre. Selon Tanium, PHP a annoncé le 20 octobre une version d’urgence après la fuite, et le CERT-EU a publié l’avis 2026-018 recommandant d’isoler les applications PHP exposées publiquement ; cette information ne provient que de Tanium. ThreatCluster indique que la version hors calendrier a été annoncée le 20 octobre pour le 21 octobre à 14 h 00 UTC et que des détails techniques ont fuité quelques heures plus tôt.
21 octobre 2026, 02 h 00–08 h 00 UTC
Exploits de preuve de concept avant la fin de l’embargo
Selon AWS, les premiers exploits de preuve de concept sont apparus vers 02 h 00 UTC, avec d’autres tentatives sur MadPot depuis une autre infrastructure anonymisée jusque vers 08 h 00 UTC. AWS interprète la diversité des charges et des infrastructures comme le signe de plusieurs acteurs. Le succès sur des systèmes réels a été décrit comme incertain.
21 octobre 2026, 03 h 02 UTC
Règles WAF de Cloudflare déjà actives
Selon Cloudflare, les clients des offres WAF gratuites et payantes étaient protégés par défaut dès 03 h 02 UTC, environ neuf heures avant la divulgation selon Cloudflare ; les règles étaient développées depuis début octobre avec la PHP Foundation, Wiz et OpenAI. Cloudflare a vu du trafic d’attaque et des modifications de charges visant à contourner les règles.
21 octobre 2026, 13 h 40 et 14 h 00 UTC
Publication des correctifs
Selon la déclaration commune de l’ENISA, l’équipe sécurité de PHP a publié les mises à jour à 13 h 40 UTC. AWS indique que l’embargo était fixé à 14 h 00 UTC et que la publication a eu lieu ensuite. php.net, la PHP Foundation, la CISA et le Centre canadien pour la cybersécurité citent comme versions correctives 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Tanium cite aussi des builds Windows à 13 h 47 UTC et une entrée NVD à 14 h 17 UTC ; nous n’avons pas vérifié ces heures nous-mêmes.
21 octobre 2026, plus tard dans la journée
Alertes des autorités et déclarations sur l’exploitation
La CISA, l’ENISA, le NCSC britannique et le Centre canadien pour la cybersécurité publient des alertes. La CISA n’avait observé aucune exploitation au moment de la publication. Le centre canadien cite des rapports de source ouverte sur un PoC sans avoir lui-même constaté d’exploitation active. watchTowr signale des tentatives sur ses capteurs ; selon SecurityWeek, sans exploitation réussie. Point d’Expel à 20 h 00 UTC : aucune CVE au KEV, aucune exploitation confirmée chez les clients. Après l’embargo, AWS parle d’exploitation massive – il s’agit des tentatives avec les nouveaux PoC –, distincte d’un succès confirmé sur des systèmes réels.
22 octobre 2026
Date de rédaction de ce site
La mise à jour de la FAQ de watchTowr ce jour-là indique toujours que les CVE ne sont pas listées au KEV de la CISA. Nos pages reposent sur les sources disponibles au 22 octobre 2026. Si une inscription au KEV ou une intrusion confirmée survient plus tard, les avis de la CISA et du projet PHP priment sur cette chronologie.
La conclusion pratique d’AWS vaut même si certaines heures divergent : ne supposez pas que la date de divulgation est la première date d’exploitation, et ne prévoyez pas une fenêtre de plusieurs semaines pour une faille critique de ce type exposée publiquement. Si ce logiciel était exposé, enquêtez au moins à partir du 17 octobre.
Sources
Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.
- PHP says AI review of critical bugs first sparked alarm in August, but signs surfaced in 2024 — The Record
- PHP2Shell: responding to CVE-2026-109618 and CVE-2026-109619 — Tanium
- FAQ: PHP2Shell CVE-2026-109618 and CVE-2026-109619 (published 20 October 2026, updated 22 October 2026) — watchTowr
- Sizing the PHP exposure window for CVE-2026-109618 and CVE-2026-109619 — ThreatCluster (VirusTotal Internet scanning write-up)
- Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — AWS Security Blog
- Cloudflare deploys protections against php2shell vulnerability — Cloudflare
- Joint statement on critical PHP vulnerabilities — ENISA
- News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
- Today’s PHP security release, and how we’re strengthening PHP security — The PHP Foundation
- Critical vulnerabilities in PHP require immediate patching (21 October 2026) — CISA
- Critical security issue affecting PHP — UK NCSC
- AL26-026 — Critical vulnerabilities impacting PHP — Canadian Centre for Cyber Security
- PHP2Shell patches land as first exploitation attempts hit sensors — SecurityWeek
- Notice: php2shell, critical PHP vulnerabilities (status as of 21 October 2026, 20:00 UTC) — Expel
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research