Une faille PHP qui contourne l'application
PHP2Shell, deux vulnérabilités critiques identifiées sous les noms CVE-2026-109618 et CVE-2026-109619, viennent de frapper l'internet. Avec un score CVSS rapporté de 9,2, il ne s'agit pas de bugs classiques au niveau de l'application ; ils frappent au cœur même de l'interpréteur PHP.
Le risque principal est trompeusement simple : une requête spécialement conçue peut déclencher une condition de mémoire insuffisante (OOM) lors du traitement de la requête. Cela laisse derrière elle un état corrompu ou obsolète, que les routines de nettoyage de PHP peuvent alors mal gérer. Le résultat ? Une exécution de code à distance non authentifiée, donnant à un attaquant le contrôle total du serveur.
Il ne s'agit pas d'une simple faille de plugin WordPress. Le problème se situe fondamentalement en dessous de votre code applicatif, résidant au sein même de PHP. Les chercheurs en sécurité de Wiz ont démontré l'impact dévastateur de PHP2Shell sur des installations fraîches de :
- WordPress
- Drupal
- Joomla
Même une application minimale "Hello World" s'est révélée vulnérable. Mettre à jour votre application ne corrigera pas cela ; vous devez mettre à jour PHP. Cette distinction est cruciale, soulignant la gravité d'un bug qui contourne les défenses classiques de la couche applicative et compromet directement le moteur du langage.
Pourquoi l'internet a activé le bouton d'arrêt d'urgence
L'empreinte omniprésente de PHP, alimentant environ 70 % de l'internet, a amplifié la menace PHP2Shell. Les vulnérabilités, CVE-2026-109618 et CVE-2026-109619, ont affecté les déploiements PHP modernes comme anciens, couvrant plus d'une décennie de versions. Cette exposition généralisée signifiait qu'une faille fondamentale du langage, et non un bug de plugin ou d'application, mettait en péril un vaste segment du web.
Des agences de cybersécurité, dont la NSA, la CISA, le FBI et le NCSC britannique, ont émis des directives sans précédent : patcher immédiatement ou mettre hors ligne les systèmes exposés s'ils ne pouvaient pas être sécurisés à temps. Ce n'était pas une recommandation, mais une directive urgente, reflétant le score CVSS critique de 9,2 et le potentiel d'exécution de code à distance non authentifiée.
L'internet a réagi par une vague de pannes préventives. Des parties de Wikipédia sont devenues inaccessibles, 4chan s'est temporairement déconnecté, et même des forums de hackers comme BreachForums se sont volontairement mis hors ligne. Ces arrêts n'étaient pas des compromissions massives confirmées, mais plutôt des mesures proactives pour se protéger contre l'inconnu, illustrant la gravité de la situation et la conséquence immédiate et visible pour l'industrie.
Un administrateur sur Reddit a noté qu'il s'agissait de leur premier arrêt délibéré de site web en 20 ans. Cette action collective a souligné la sévérité de PHP2Shell et l'engagement de l'industrie envers la sécurité, même au prix d'une interruption temporaire de service.
Le correctif est arrivé après que le secret a été dévoilé
Un plan de divulgation coordonnée pour PHP2Shell s'est rapidement effondré, réduisant la fenêtre de tir pour les défenseurs. Mardi après-midi, les détails des CVE et un score CVSS erroné de 10,0 sont apparus sur Hacker News, alertant prématurément la communauté de sécurité et les attaquants potentiels. Cette fuite a forcé la PHP Foundation à accélérer son calendrier de publication d'une journée entière.
Simultanément, Calif, l'une des entreprises ayant découvert le bug, a accidentellement publié une vidéo démontrant l'exploit en action. Bien que rapidement supprimée, des copies ont circulé sur les réseaux sociaux, fournissant un dangereux plan d'exploitation. Quelques heures avant la publication officielle, Chainguard a unilatéralement publié des images de conteneurs PHP corrigées, brisant ainsi l'embargo.
Chaque fuite a réduit l'avantage des défenseurs. Une fois que les correctifs ou les démonstrations d'exploitation sont rendus publics, les chercheurs en sécurité (white-hat) et les acteurs malveillants peuvent faire de l'ingénierie inverse sur les changements, se lançant dans une course pour développer des exploits fiables. La PHP Foundation et les mainteneurs se sont précipités pour publier des correctifs, tandis que des entités comme Cloudflare et Vercel, ayant reçu un préavis, ont discrètement déployé des règles de pare-feu protectrices. Pour une analyse plus approfondie de la réponse de la fondation, consultez Today's PHP Security Release, and How We're Strengthening PHP Security.
Au moment où le correctif officiel est arrivé à 2h00 UTC, le secret était déjà éventé. La divulgation chaotique a fait qu'au moment où les correctifs étaient officiellement disponibles, beaucoup savaient déjà exactement où chercher, transformant une publication prévue et calme en une course contre la montre frénétique et publique.
Cet article vous plaît ? Recevez-en un comme celui-ci chaque matin.
un e-mail par jour · désinscription en deux clics · aucun traqueur tiers
Corriger chaque serveur PHP oublié
Les opérateurs font désormais face à une tâche claire, bien que décourageante : inventorier méticuleusement tous les hôtes et conteneurs PHP, confirmer la version exacte du runtime et appliquer une version corrigée officielle ou un backport de fournisseur de confiance. Il est crucial de vérifier que le déploiement a réellement changé, car des échecs silencieux ou des problèmes de mise en cache peuvent laisser les systèmes exposés.
La longue traîne des installations héritées (legacy) représente le danger le plus important. Les analyses ont révélé que 59 % des serveurs exécutent PHP 8.1 ou une version antérieure ; certaines branches plus anciennes, comme PHP 7.4, nécessitaient des correctifs compilés séparément, souvent fournis par des mainteneurs de la communauté comme Ondrej Surý. Ces serveurs oubliés, souvent non surveillés, sont des cibles privilégiées.
PHP2Shell offre une leçon frappante pour l'industrie : la découverte assistée par IA accélérera la recherche de vulnérabilités et le développement d'exploits. OpenAI’s GPT-5.6 Sol et Google’s Gemini 4 Argon auraient contribué aux résultats, compressant ce qui prenait autrefois des mois en quelques semaines seulement.
Ce changement de paradigme exige des délais plus serrés pour les processus de divulgation et les opérations de correction. Le déploiement chaotique de PHP2Shell — marqué par des fuites précoces et des PoCs accidentels — souligne que même quelques heures d'informations prématurées peuvent déclencher une ruée. Le patching proactif et une réponse robuste aux incidents ne sont plus optionnels ; ils sont fondamentaux pour la sécurité à l'ère de l'IA.
Foire aux questions
Qu'est-ce que PHP2Shell ?
PHP2Shell est le nom donné à deux vulnérabilités critiques dans le runtime principal de PHP qui peuvent permettre l'exécution de code à distance.
Pourquoi la mise à jour de WordPress ne peut-elle pas corriger PHP2Shell ?
Les failles se trouvent dans PHP lui-même, et non dans WordPress ou un plugin. Le runtime PHP hébergeant l'application doit être corrigé.
Que doivent faire les opérateurs de sites PHP ?
Identifier chaque déploiement PHP, installer une version PHP corrigée ou un backport de fournisseur, et suivre les conseils officiels. Si un système ne peut pas être corrigé ou protégé de manière adéquate, isolez-le ou mettez-le hors ligne.
A-t-il été confirmé que des attaquants ont exploité PHP2Shell ?
La source rapporte des tentatives d'exploitation, mais aucune exploitation réussie confirmée au moment de la publication.