Deux failles critiques, PHP2Shell, menacent les serveurs web utilisant PHP, permettant une exécution de code à distance sans authentification. Des correctifs de sécurité urgents ont été publiés pour neutraliser ces vulnérabilités de gestion mémoire.
Comme nous l’avons indiqué ce matin, deux vulnérabilités critiques dans PHP peuvent permettre l’exécution à distance de code sur des serveurs web, sans nécessiter d’authentification. Ces failles, nommées PHP2Shell, touchent différentes configurations et ont conduit à la publication urgente de mises à jour de sécurité.
PHP est l’une des technologies les plus répandues pour le développement d’applications web. La découverte de vulnérabilités dans son fonctionnement interne représente donc un risque majeur pour les services qui l’utilisent. Les failles, identifiées comme CVE-2026-109618 et CVE-2026-109619, concernent la gestion de la mémoire et le traitement des données internes lors du traitement des requêtes HTTP.
Selon les chercheurs de Wiz, ces problèmes existent depuis des décennies. Cependant, la complexité requise pour démontrer leur exploitation a retardé la découverte d’une attaque fonctionnelle. La recherche a bénéficié de l’aide de modèles d’intelligence artificielle avancés, qui ont permis de surmonter certaines difficultés techniques.
PHP2Shell expose différents serveurs web à un risque
Les vulnérabilités touchent les installations PHP qui traitent des requêtes web, notamment les environnements avec PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Les configurations utilisant mod_php sont jugées particulièrement exposées. Il a été démontré qu’il était possible d’exécuter du code à distance via une seule requête non authentifiée, avant même l’exécution du code applicatif.
- La première faille, CVE-2026-109618, est liée à la gestion des situations de mémoire insuffisante, qui peuvent interrompre des opérations alors que certaines structures internes ne sont pas encore complètement initialisées.
- La CVE-2026-109619 résulte quant à elle de l’utilisation de références à des données internes dont la mémoire a été préalablement libérée, permettant à des requêtes ultérieures de réutiliser des informations invalides.
Au-delà de l’exécution de code à distance, la recherche de Wiz a montré qu’il était possible d’accéder aux informations présentes dans la mémoire des processus PHP, y compris des données potentiellement sensibles comme des mots de passe, des jetons d’authentification ou des clés d’API.
Des mises à jour de sécurité sont déjà disponibles
L’équipe responsable de PHP a publié des correctifs dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, recommandant une mise à jour immédiate des systèmes concernés. Pour les installations Linux, les administrateurs doivent vérifier les paquets fournis par les éditeurs de leurs distributions, car certaines corrections peuvent être intégrées dans des versions antérieures via des mises à jour de sécurité.
Les versions PHP 8.1 et antérieures ne bénéficient plus du support officiel du projet, bien que certains fournisseurs continuent de proposer des correctifs via des contrats de maintenance étendue. Des correctifs minimaux au niveau du code source ont aussi été publiés pour les versions 7.4, 8.0 et 8.1, destinés à ceux qui gèrent leurs propres installations.
Compte tenu de l’impact potentiel de ces vulnérabilités et de la possibilité de compromettre des serveurs sans authentification, la mise à jour de PHP doit être traitée comme une priorité, surtout pour les systèmes accessibles depuis Internet. Les administrateurs doivent également vérifier le statut de maintenance des versions installées et planifier la migration des environnements approchant de la fin du support sécurité.
La gravité de la situation a même conduit le Centre National de Cybersécurité du Royaume-Uni (NCSC) à recommander que les organisations envisagent de mettre hors service temporairement les systèmes qui ne peuvent être ni mis à jour ni protégés de manière adéquate.