Pas php.net · Pas la NVD · Pas la CISA

Suivi des vulnérabilités PHP

Note d’information non officielle sur les vulnérabilités de sécurité PHP

English简体中文日本語DeutschFrançaisNederlandsEspañol

Alerte de sécurité

PHP2Shell : mettez PHP à jour. C’est le seul correctif complet.

CVE-2026-109618 et CVE-2026-109619 sont des failles critiques de PHP lui-même, permettant une exécution de code à distance sans authentification. Le projet PHP a publié des correctifs le 21 octobre 2026 pour les branches maintenues 8.2 à 8.5. Redémarrez PHP après la mise à jour. Un pare-feu ne la remplace pas.

Étapes de correction

État des éditeurs

État des éditeurs face à PHP2Shell : qui a corrigé et qui examine encore

Ce sont les déclarations des éditeurs sur leurs propres produits, lues le 22 octobre 2026. Un paquet corrigé d’une distribution ne signifie pas que chaque binaire PHP d’un serveur provient de cette distribution. Un éditeur qui indique « aucun produit connu comme affecté » décrit l’état d’une enquête, pas un résultat définitif.

Dernière mise à jour

État dans les termes de l’éditeur. Les dates sont celles des documents.
ÉditeurDéclaration de l’éditeurDate de la source
CiscoExamine quels produits et services cloud pourraient être affectés. À la publication, aucun produit n’était connu comme affecté, la section « confirmés non vulnérables » était encore vide. Le PSIRT n’a connaissance d’aucune utilisation malveillante contre Cisco. Aucun contournement ne corrige les failles.Première publication le 21 octobre 2026, 19 h 12 GMT
Red HatPartiellement corrigé. RHSB-2026-013 : les correctifs sont accélérés, certaines mises à jour sont disponibles, d’autres en préparation. RHEL 10, 9, 8 et OpenShift Dev Spaces 3 sont directement affectés. PHP-FPM par défaut sous RHEL serait plus difficile à exploiter que mod_php. Des errata comme RHSA-2026:87151 (RHEL 9 php), RHSA-2026:87080 (RHEL 8 php) et RHSA-2026:87079 (RHEL 9 php:8.3) citent les deux CVE. L’enquête est en cours.Public le 21 octobre 2026
UbuntuCorrigé pour les versions prises en charge, y compris Ubuntu Pro et les builds Legacy ESM jusqu’au php5 de 14.04. Exemples : 24.04 php8.3 en 8.3.6-0ubuntu0.24.04.13, 22.04 php8.1 en 8.1.2-1ubuntu2.28, 26.04 php8.5 en 8.5.4-0ubuntu1.5. Le numéro de version amont ne change souvent pas. Redémarrer les services utilisant PHP après la mise à niveau.Article de blog du 21 octobre 2026
DebianCorrigé pour les versions stables. DLA-4848-1 : Debian 12 bookworm php8.2 8.2.35-1~deb12u1 (Debian LTS). DSA-6574-1 : Debian 13 trixie php8.4 8.4.27-1~deb13u1. Le 22 octobre, le security tracker indiquait toujours testing (forky) php8.4 8.4.26-1 comme vulnérable.Avis du 21 octobre 2026
cPanelCorrigé pour les builds listés : ea-php82 8.2.35, ea-php83 8.3.36, ea-php84 8.4.27 et ea-php85 8.5.12, ainsi que les rétroportages ea-php74 7.4.33-19, ea-php80 8.0.30-12 et ea-php81 8.1.34-5. Les versions corrigées de cPanel & WHM incluent notamment 11.110.0.153, 11.134.0.66, 11.136.0.50 et 11.138.0.18. PHP antérieur à 7.4 est renvoyé vers TuxCare ELS ; un tableau CloudLinux renvoie à la page d’état de CloudLinux.Mis à jour le 22 octobre 2026
PleskCorrigé, avec une réserve sur la date de build pour les anciennes branches. Correctifs Linux et Windows pour PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les versions EOL 7.4.33, 8.0.30 et 8.1.34 conservent leur numéro ; les builds du 21 octobre 2026 contiennent le correctif. Le sw-engine du panneau est corrigé dans Plesk Obsidian 18.0.81 Update 4 et 18.0.80 Update 11.Article de l’éditeur se référant à la version PHP du 21 octobre
SophosProduits Sophos : non affectés. Avis sophos-sa-20261021-php2shell : aucun produit affecté, aucune action nécessaire. Par ailleurs, l’ancien portail de licences MyUTM utilisait une version de PHP affectée ; Sophos l’a mis hors ligne le 21 octobre, un examen des journaux n’a jusqu’ici révélé aucun signe d’exploitation, l’examen se poursuit.Mis à jour le 21 octobre 2026
Palo Alto NetworksAffecté, pas encore de correctif pour PAN-OS. L’avis indique PAN-OS 12.2, 12.1, 11.2, 11.1 et 10.2 (toutes versions) ainsi que Panorama comme affectés, versions corrigées « ETA: TBD ». Prisma Access, Cloud NGFW, GlobalProtect App, les produits Cortex et Prisma Cloud sont non affectés. En attendant, les clients Threat Prevention doivent activer les Threat ID 543004 et 97622–97625 (contenu 9162 ou ultérieur), qui ne protègent l’interface de gestion que si son trafic entrant passe par un port du plan de données et est déchiffré pour inspection. Palo Alto dit n’avoir connaissance d’aucune exploitation malveillante contre ses produits. Le bulletin Unit 42 indique avoir vu des preuves de concept et qu’au moins un gouvernement européen a mis son site hors ligne par précaution.Publié le 21 octobre 2026, mis à jour le 21 octobre 23:33 UTC
AWSSelon le bulletin 2026-143-AWS, les services AWS eux-mêmes ne sont pas affectés ; les clients qui y exécutent une version de PHP affectée peuvent l’être. Amazon WorkMail : contrôles de configuration appliqués, passage à PHP 8.3.36 prévu le 22 octobre, aucune action du client. Elastic Beanstalk : les versions de plateforme PHP v4.13.12, publiées le 21 octobre, traitent les deux CVE ; une version de plateforme suivante contenant le correctif amont de PHP est prévue le 22 octobre. Avec les Managed Platform Updates, elle arrive à la prochaine fenêtre de maintenance ; sinon, mettez à jour vous-même la version de plateforme de l’environnement. Amazon Linux : paquets PHP mis à jour disponibles dans les régions commerciales, régions non commerciales prévues le 22 octobre ; détails dans l’Amazon Linux Security Center. Lightsail : blueprints mis à jour attendus le 21 octobre ; AWS ne peut pas mettre à jour les instances en cours d’exécution, il faut créer de nouvelles instances à partir des blueprints mis à jour et migrer. PHP 5.4 à 8.1 n’ont pas de correctif amont ; AWS demande de migrer vers une branche maintenue.Publié le 21 octobre 2026 à 14 h 30 PDT ; mis à jour à 20 h 30 PDT (22 octobre, 3 h 30 UTC)

Comment lire « corrigé »

Le paquet 24.04 corrigé d’Ubuntu reste PHP 8.3.6 avec une nouvelle révision de paquet. Les builds corrigés de Plesk pour 7.4, 8.0 et 8.1 conservent leur numéro de version et changent de date de build. Comparer php -v à 8.3.36 classe mal ces hôtes. Utilisez la donnée de paquet publiée par l’éditeur ou la date de build, et redémarrez la SAPI qui répond en HTTP. Le vérificateur de version ne compare que les numéros amont et ne détecte pas les rétroportages.

Aucun rapport public sur un site connu compromis

Au 22 octobre 2026, les sources examinées pour cette page ne contiennent aucun rapport public indiquant qu’un site connu a été compromis via PHP2Shell. Reuters, citant Cloudflare, a fait état de millions de tentatives d’exploitation et décrit des sites gouvernementaux mis hors ligne en Europe et ailleurs, ainsi que des restrictions temporaires chez Mitsubishi UFJ Financial Group et au ministère japonais des Finances par mesure d’urgence. Sophos indique que son portail MyUTM mis hors ligne ne présente jusqu’ici aucun signe d’exploitation. AWS indique ignorer si les tentatives observées auraient réussi sur de vrais systèmes, et la CISA n’avait observé aucune exploitation au moment de son alerte du 21 octobre. L’absence de rapport de victime ne prouve pas qu’aucune compromission n’a eu lieu ; elle décrit ce que ces sources ont publié.

Microsoft Azure App Service

Corrigé pour les PHP pris en charge dans les images Linux intégrées. Selon l’équipe App Service, les images PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ont atteint les canaux Latest et Standard le 21 octobre 2026 ; Extended suit en dernier. Les conteneurs personnalisés, le PHP fourni par le client, les PHP en fin de vie et les images WordPress basées sur Alpine ne sont pas corrigés. Étapes : page Azure App Service.

Sur les scores : l’article d’Azure cite la note CVSS v4.0 de 9.2 attribuée par l’équipe de sécurité PHP aux deux CVE et l’heure de publication du 21 octobre à 14 h UTC. Le score principal du NVD pour CVE-2026-109618 est CVSS v3.1 9.8 (NVD). Il s’agit de la même faille, notée avec deux versions de CVSS.

Sources

Les liens externes quittent ce site. Nous n’hébergeons aucun code d’exploitation.

  1. Vulnerabilities in PHP affecting Cisco products: October 2026 — Cisco
  2. 2026-143-AWS — PHP web runtimes (CVE-2026-109618 and CVE-2026-109619) — AWS Security Bulletins
  3. RHSB-2026-013 php2shell request-handling memory corruption — Red Hat
  4. php2shell — PHP critical vulnerability fixes available — Ubuntu
  5. DLA-4848-1: php8.2 security update (Debian 12 bookworm) — Debian LTS
  6. DSA-6574-1: php8.4 security update (Debian 13 trixie) — Debian
  7. Critical PHP security release — CVE-2026-109618 and CVE-2026-109619 — cPanel
  8. Remote code execution in PHP shipped with Plesk — Plesk
  9. Advisory: PHP2Shell vulnerabilities (sophos-sa-20261021-php2shell) — Sophos
  10. Impact of critical vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619) on Palo Alto Networks products — Palo Alto Networks
  11. Threat brief: critical vulnerabilities in PHP: CVE-2026-109618, CVE-2026-109619 — Palo Alto Networks Unit 42
  12. Cloudflare sees millions of exploit attempts after PHP disclosure, 22 October 2026 — Reuters (syndicated text)
  13. News archive 2026: security advisory, 21 October 2026 — PHP project (php.net)
  14. Critical PHP security release: what it means for Azure App Service on Linux — Microsoft Azure App Service team
  15. CVE-2026-109618 — NVD
  16. CVE-2026-109618 — NVD
  17. CVE-2026-109618 — NVD
  18. CVE-2026-109618 — NVD
  19. CVE-2026-109618 — NVD
  20. CVE-2026-109618 — NVD
  21. CVE-2026-109618 — NVD