Deux failles critiques baptisées PHP2Shell menacent des serveurs PHP, avec un risque élevé d’exécution de code à distance. L’équipe de développement prévoit des correctifs d’urgence pour le 21 octobre, alors que des milliers de systèmes pourraient être exposés.
Deux vulnérabilités critiques dans PHP sont à l’origine d’une alerte de sécurité internationale. Connues sous le nom informel de PHP2Shell, ces failles pourraient permettre l’exécution de code à distance sur des serveurs vulnérables, mettant en danger sites web, applications et plateformes de commerce électronique.
L’équipe en charge de PHP a annoncé une mise à jour de sécurité d’urgence pour le 21 octobre. Ces deux vulnérabilités ont reçu une sévérité de 9,2 sur 10 sur l’échelle CVSS v4.0. Les administrateurs systèmes sont invités à préparer l’installation des correctifs dès leur disponibilité.
PHP2Shell : que sait-on sur ces vulnérabilités ?
Les deux failles sont référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619. Selon des chercheurs en cybersécurité, chacune pourrait entraîner une exécution de code à distance (RCE), l’une des catégories de vulnérabilités les plus graves car elle permet d’exécuter des commandes sur le serveur visé.
Cette menace est particulièrement sérieuse lorsque l’attaque peut être menée sans authentification, c’est-à-dire sans que l’attaquant ait besoin d’un compte légitime sur le système.
Malgré la gravité de l’alerte, les détails techniques complets et la liste exacte des versions affectées dépendent encore des informations officielles qui accompagneront les correctifs. Le nom PHP2Shell est utilisé par la communauté de la sécurité et ne correspond pas à une désignation officielle de l’équipe PHP.
Des milliers de sites et d’applications pourraient être en danger
PHP demeure une technologie fondamentale pour le développement web, utilisée par des systèmes de gestion de contenu, des boutiques en ligne, des plateformes d’entreprise et des services d’hébergement.
Parmi les technologies et plateformes utilisant PHP se trouvent :
- WordPress ;
- Drupal ;
- Joomla ;
- Magento ;
- Laravel ;
- phpBB.
La présence de PHP dans ces écosystèmes ne signifie pas automatiquement que toutes les installations sont vulnérables. Le risque dépend des versions utilisées, des conditions d’exploitation et des correctifs fournis par les éditeurs concernés.
Une attaque réussie pourrait permettre d’exécuter des commandes avec les permissions du processus PHP, ouvrant la voie à des conséquences comme le vol de données, l’installation de logiciels malveillants, la modification de pages web ou la compromission d’autres composants du serveur.
Les anciennes versions de PHP présentent un risque supplémentaire
L’un des problèmes majeurs identifiés concerne les systèmes qui utilisent d’anciennes versions de PHP.
Les versions 8.2, 8.3, 8.4 et 8.5 font partie des branches officiellement supportées, bien qu’avec différents niveaux de maintenance. En revanche, les versions 8.1 et antérieures ne bénéficient plus du support officiel et ne reçoivent généralement plus de correctifs de sécurité de la part du projet PHP.
Selon des données publiées par la société de sécurité Mallory, environ 884 000 serveurs exposés sur Internet présentaient, au 20 octobre, des indicateurs d’utilisation de PHP 8.1 ou d’une version antérieure. Ce chiffre, obtenu via Shodan, ne signifie pas que tous ces serveurs sont confirmés vulnérables aux failles PHP2Shell.
Que doivent faire les administrateurs systèmes ?
Face à la gravité de cette alerte, la recommandation est d’organiser une réponse rapide et coordonnée, en particulier pour les systèmes accessibles depuis Internet.
Parmi les mesures principales :
- Répertorier les installations PHP : identifier les serveurs, applications, panneaux d’hébergement et équipements intégrant cette technologie.
- Appliquer les mises à jour de sécurité : installer les versions corrigées dès qu’elles sont disponibles auprès du projet PHP ou du fournisseur du système d’exploitation et de l’hébergement.
- Prioriser les systèmes exposés : commencer par les serveurs publics, les boutiques en ligne et les applications traitant des informations sensibles.
- Réévaluer les versions sans support : planifier la migration vers une branche supportée ou adopter des mesures de protection temporaires en l’absence de solution sécurisée.
- Surveiller toute activité suspecte : rechercher les processus inattendus lancés par PHP, les modifications de fichiers, les nouvelles tâches planifiées et autres signes de compromission.
- Isoler les systèmes non corrigeables : si un serveur vulnérable ne peut pas être mis à jour rapidement, restreindre son accès au réseau public jusqu’à l’application d’une solution adaptée.
Ces mesures sont d’autant plus importantes qu’au moment de l’alerte initiale, aucune exploitation active publique de ces deux failles n’était confirmée. L’absence d’attaques connues n’élimine cependant pas le risque.