php2shell : deux failles critiques dans PHP, mettez vos serveurs à jour

Le 21 octobre 2026, l'équipe de PHP a publié en urgence des versions correctives pour deux vulnérabilités critiques du moteur PHP lui-même, surnommées « php2shell ». Notées 9,2 sur 10 (CVSS v4.0), elles peuvent permettre à un attaquant non authentifié d'exécuter du code à distance sur le serveur, avec les droits du processus web.

Les détails techniques ont fuité avant la publication coordonnée des correctifs et des tentatives d'exploitation ont été signalées par des éditeurs de sécurité. L'agence américaine CISA et le NCSC britannique demandent d'appliquer les correctifs sans attendre.

Pourquoi c'est grave

• PHP fait tourner une très grande partie du web : WordPress, Laravel, Drupal, PrestaShop, Moodle et d'innombrables sites sur mesure.

• La faille se trouve dans PHP, pas dans un CMS ou une extension : mettre à jour WordPress ou ses plugins ne suffit pas.

• Aucun compte n'est nécessaire pour attaquer : un site accessible publiquement suffit.

Les deux vulnérabilités en bref

• CVE-2026-109618 : une mauvaise gestion du manque de mémoire peut laisser des données internes d'une requête à moitié initialisées, puis traitées comme valides au moment du nettoyage.

• CVE-2026-109619 : un état interne lié à une requête peut survivre après la libération de sa mémoire (use-after-free) et être réutilisé par une requête suivante traitée par le même processus.

Suis-je concerné ?

Selon les analyses publiées, les versions de PHP 5.4 à 8.5.11 sont concernées. Les versions corrigées sont :

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Pour PHP 7.4, 8.0 et 8.1, qui ne sont plus maintenues, l'équipe PHP a publié des correctifs minimaux au niveau du code source, sans nouvelle version officielle. Si vous êtes encore sur l'une de ces versions, c'est le moment de migrer.

Pour connaître votre version :

php -v

Sur un hébergement mutualisé (cPanel, Plesk…), la version figure dans le sélecteur de version PHP du panneau. Attention : la version en ligne de commande peut différer de celle utilisée par le site. Une page phpinfo() temporaire, à supprimer aussitôt, donne la version réellement utilisée.

Que faire dès maintenant

1. Mettez à jour PHP vers une version corrigée, puis redémarrez PHP-FPM ou Apache.

2. Sur un hébergement mutualisé, vérifiez auprès de votre hébergeur que le correctif est appliqué.

3. Avec Docker, reconstruisez vos images à partir d'une image officielle à jour (par exemple php:8.3-fpm) et redéployez.

4. Surveillez vos journaux : plantages répétés de PHP-FPM, erreurs de mémoire, fichiers inattendus dans les dossiers d'envoi. En cas de doute, changez les mots de passe et clés du serveur.

Sur Ubuntu ou Debian, une fois les paquets corrigés disponibles (distribution ou dépôt d'Ondřej Surý) :

sudo apt update && sudo apt upgradephp -vsudo systemctl restart php8.3-fpm

Une mesure d'attente, pas une solution

En attendant la mise à jour, l'équipe PHP indique que désactiver l'option session.upload_progress.enabled bloque les chemins d'attaque connus de la seconde faille (CVE-2026-109619), mais pas toutes ses variantes. Seule la mise à jour corrige réellement le problème.

; php.ini — mesure temporairesession.upload_progress.enabled = Off

À la date de rédaction (23 octobre 2026), la situation évolue rapidement : référez-vous aux avis officiels pour les informations les plus récentes.

Besoin d'aide ?

Vous ne savez pas quelle version de PHP fait tourner votre site, ou vous n'avez pas le temps de vous en occuper ? Notre équipe peut vérifier votre serveur, appliquer les correctifs et mettre en place une supervision. Contactez-nous ou demandez un devis.

Sources

• Alerte de la CISA (21 octobre 2026)

• Avis du NCSC britannique

• Help Net Security

• Analyse de Rapid7

• Analyse d'Unit 42 (Palo Alto Networks)