PHP2Shell — Des failles critiques de PHP permettent de prendre le contrôle de serveurs web (2026)

De quelle menace s'agit-il ?

Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité d'urgence pour deux vulnérabilités critiques au cœur même du langage PHP, surnommées PHP2Shell :

CVE-2026-109618 — une erreur de gestion de la mémoire déclenchée lorsque le serveur manque de mémoire pendant la lecture d'un formulaire envoyé

CVE-2026-109619 — une faille de type « use-after-free », où une requête réutilise des restes de mémoire d'une requête précédente qui a planté

Les deux sont notées 9,2 sur 10 (critiques). Ensemble, elles permettent une exécution de code à distance sans authentification : un attaquant capable d'envoyer une requête web à un serveur vulnérable peut potentiellement y exécuter ses propres commandes — sans mot de passe, sans compte, et indépendamment du code du site lui-même.

PHP fait tourner une grande partie du web, notamment WordPress, Drupal, Joomla, Magento, les applications Laravel ainsi qu'innombrables boutiques en ligne et portails clients. Palo Alto Networks a recensé plus de 22 millions d'instances PHP accessibles depuis Internet et potentiellement exposées.

Chronologie

| Date | Événement |

|---|---|

| 17 octobre 2026 | Les pots de miel d'Amazon enregistrent une première tentative d'exploitation — quatre jours avant la divulgation publique |

| 21 octobre 2026 | PHP publie son avis de sécurité et les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 |

| 21 octobre 2026 | Des scans massifs d'Internet démarrent en moins d'une heure ; au moins un gouvernement européen met son site hors ligne par précaution |

| 22 octobre 2026 | Cloudflare signale des tentatives d'attaque se comptant en millions |

| 23 octobre 2026 | PHP signale un problème apparenté, moins risqué (CVE-2026-115560), touchant des configurations de session inhabituelles ; le correctif arrivera dans la prochaine version régulière |

Qui est concerné ?

Toute installation PHP qui répond à des requêtes web est concernée — qu'elle fonctionne en mod_php sous Apache (la configuration la plus risquée), en PHP-FPM, php-cgi, LiteSpeed ou FrankenPHP, y compris les conteneurs Docker embarquant leur propre PHP.

| Version de PHP | Statut |

|---|---|

| 8.5 avant 8.5.12 | Vulnérable — mettre à jour vers 8.5.12 |

| 8.4 avant 8.4.27 | Vulnérable — mettre à jour vers 8.4.27 |

| 8.3 avant 8.3.36 | Vulnérable — mettre à jour vers 8.3.36 |

| 8.2 avant 8.2.35 | Vulnérable — mettre à jour vers 8.2.35 |

| 7.4, 8.0, 8.1 (fin de support) | Vulnérables — pas de version officielle ; seulement des paquets de distribution ou des rétroportages du code source |

| 7.3 et antérieures | Vulnérables — aucun correctif ; mise à niveau obligatoire |

Les distributions Linux ont reçu les correctifs en avance : les paquets mis à jour sont disponibles via les mises à jour système habituelles. Certains éditeurs rétroportent les correctifs sans changer le numéro de version — consultez l'avis de sécurité de votre distribution.

Comment les attaquants l'exploitent

Balayage : des robots sondent des millions de sites à la recherche de serveurs PHP

Requête piégée : l'attaquant envoie un formulaire surdimensionné (noms de champs de plusieurs mégaoctets, parfois avec des données binaires cachées) pour pousser PHP vers un manque de mémoire ou une erreur fatale

Prise de contrôle : si la corruption mémoire fonctionne, le serveur exécute la commande de l'attaquant

Charge malveillante : les sociétés Sophos et Arctic Wolf ont observé des tentatives d'installation d'une variante du botnet Mirai ; d'autres attaquants déposent généralement des web shells, des mineurs de cryptomonnaie ou volent des bases de données

Les chercheurs soulignent qu'un exploit fiable est plus difficile à concevoir que prévu et que beaucoup de tentatives échouent — mais avec des millions d'essais par jour, les serveurs non corrigés finiront par être touchés.

Pourquoi c'est important — même sans serveur

Si vous avez un blog personnel, un site de petite entreprise ou une boutique en ligne sur un hébergement mutualisé, il fonctionne presque certainement avec PHP. Les sites piratés servent à :

Voler des données clients, notamment les noms, adresses et informations de paiement saisis lors des commandes

Rediriger les visiteurs vers des pages de phishing ou de fausses alertes « virus détecté »

Héberger des logiciels malveillants sous un nom de domaine de confiance

Envoyer du spam qui ruine la réputation du domaine

En tant que visiteur, vous ne pouvez pas corriger le serveur d'autrui — mais vous pouvez repérer les signes qu'un site familier a été modifié.

Liste des signaux d'alerte

Pour les propriétaires de sites :

❌ Des entrées de journal signalant un épuisement de la mémoire avec la mention « Unknown on line 0 »

❌ Des requêtes POST anormalement volumineuses, des plantages de workers ou des erreurs de segmentation dans les journaux du serveur web

❌ Des processus PHP ou du serveur web qui lancent des shells (sh, bash) ou des programmes inconnus

❌ De nouveaux fichiers PHP inconnus dans les dossiers d'upload ou de cache

❌ Des comptes administrateurs inattendus dans votre CMS

Pour les visiteurs :

❌ Un site familier vous redirige soudain ailleurs

❌ Des fenêtres surgissantes affirment que votre appareil est infecté ou vous demandent de « mettre à jour » votre navigateur

❌ Une page de paiement a un aspect inhabituel ou demande plus d'informations que d'habitude