PHP2Shell : deux failles critiques
PHP2Shell : deux failles critiques dans PHP, les administrateurs doivent mettre leurs serveurs à jour immédiatement
Publié le 21 octobre 2026 | Sécurité informatique
Deux vulnérabilités critiques touchant le langage PHP font actuellement l’objet d’une alerte mondiale en cybersécurité. Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, elles pourraient permettre à un pirate d’exécuter du code à distance sur un serveur vulnérable, sans authentification préalable.
Une menace importante pour les serveurs Web
Regroupées sous le nom de PHP2Shell, ces vulnérabilités affectent plusieurs versions de PHP utilisées pour faire fonctionner des sites Web, des applications et des services en ligne.
L’exploitation de ces failles pourrait notamment permettre à un attaquant de compromettre un serveur et potentiellement d’accéder à des fichiers ou à des données sensibles.
Les installations PHP accessibles depuis Internet sont particulièrement concernées, notamment celles utilisant PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed.
Quelles versions sont concernées ?
L’équipe de développement de PHP a publié des mises à jour de sécurité le 21 octobre 2026 afin de corriger ces deux vulnérabilités.
Les versions corrigées sont les suivantes :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les versions antérieures des branches concernées doivent être mises à jour. Les utilisateurs de PHP 8.1 ou d’une version plus ancienne doivent vérifier auprès de leur fournisseur si un correctif est disponible ou migrer vers une version prise en charge.
Que doivent faire les administrateurs ?
Les administrateurs de serveurs et les responsables de sites Web sont invités à :
Vérifier la version de PHP utilisée par leurs serveurs et leurs environnements d’hébergement.
Installer immédiatement une version corrigée compatible avec leur environnement.
Redémarrer les services concernés si nécessaire afin que la nouvelle version soit effectivement chargée.
Examiner les journaux du serveur Web et les processus inhabituels afin de détecter d’éventuels signes de compromission.
Vérifier également les conteneurs, applications et produits tiers qui intègrent leur propre version de PHP.
Une mise à jour du système d’exploitation ne garantit pas nécessairement que tous les environnements PHP sont corrigés : certains hébergements et conteneurs utilisent des versions indépendantes.
PHP 8.2.35 : un correctif à installer sans attendre
La version PHP 8.2.35 corrige les deux vulnérabilités pour la branche PHP 8.2. Toutefois, cette branche doit arriver en fin de vie le 31 décembre 2026. Les administrateurs devraient donc planifier leur migration vers une branche plus récente et prise en charge.
Aucune mesure de contournement ne remplace complètement l’installation du correctif officiel.
Conclusion
PHP2Shell : deux failles critiques : L’alerte PHP2Shell rappelle l’importance de maintenir à jour les composants logiciels qui font fonctionner les sites Web. Les administrateurs devraient prioriser les serveurs accessibles depuis Internet et vérifier rapidement que les versions corrigées sont bien actives.