Faille PHP2Shell : comprendre les tentatives et les correctifs

PHP2Shell désigne deux failles critiques du cœur de PHP, CVE-2026-109618 et CVE-2026-109619, qui peuvent permettre l’exécution de code à distance sans authentification. Le 21 octobre 2026, PHP a publié des versions corrigées pour quatre branches.

Les tentatives repérées sur des capteurs et les estimations d’organisations touchées décrivent une activité d’exploitation, pas des intrusions confirmées. Pour savoir si un service est concerné, il faut identifier le runtime PHP qui traite réellement ses requêtes et vérifier sa version.

Deux failles dans le traitement des requêtes PHP

PHP décrit CVE-2026-109618 comme une corruption liée à un manque de mémoire. Des données de requête peuvent rester partiellement initialisées, puis être traitées comme valides lors du nettoyage. CVE-2026-109619 concerne un état interne qui subsiste après la libération de la mémoire associée. Une requête ultérieure, traitée par le même processus, peut alors réutiliser cet état périmé.

PHP estime que les installations qui traitent des requêtes web peuvent être concernées, notamment avec PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le cas d’attaque sans authentification le plus clairement démontré par PHP concerne Apache mod_php.

Ce que les observations d’AWS datent

Amazon Threat Intelligence a rapporté une tentative visant son environnement de leurre MadPot le 17 octobre 2026, avant la divulgation publique. AWS a ensuite situé les premiers exploits de preuve de concept repérés vers 02 h UTC le 21 octobre, puis d’autres tentatives contre MadPot entre 02 h et 08 h UTC. L’embargo a pris fin à 14 h UTC ce jour-là.

AWS indique que ces observations ne permettent pas de savoir si les tentatives auraient réussi sur des systèmes réels. Elles décrivent une activité visant ses capteurs.

Ce que signifie l’estimation de Check Point

Dans son rapport du 22 octobre 2026, Check Point a estimé que 10 % des organisations dans le monde avaient été « impactées » depuis la divulgation. L’entreprise définit ce terme comme le fait d’avoir subi des tentatives d’exploitation, sans déterminer si elles ont réussi. Son estimation régionale s’élevait à 14 % en Europe, 6 % en Amérique du Nord, en Amérique latine et en Asie-Pacifique, et 4 % en Afrique.

Ces pourcentages mesurent des organisations confrontées à des tentatives. Ils ne correspondent pas à des taux de compromission avérée.

Les versions PHP corrigées

PHP a annoncé que les versions suivantes corrigent CVE-2026-109618 et CVE-2026-109619 :

Les versions PHP 8.1 et antérieures ne reçoivent plus de mises à jour du projet PHP. Certaines distributions et certains fournisseurs de support à long terme peuvent toutefois rétroporter le correctif dans leurs propres paquets. L’avis de sécurité de PHP donne les versions corrigées et les mesures de configuration associées.

Pour vérifier une installation, recensez les runtimes qui servent effectivement les requêtes, y compris ceux présents dans les conteneurs et les images fournies par un éditeur. Comparez leur version à une version corrigée ou vérifiez que le fournisseur du paquet confirme un rétroportage du correctif.

Pourquoi un réglage ou un VPN ne remplace pas la mise à jour

Désactiver session.upload_progress.enabled bloque des chemins confirmés pour CVE-2026-109619, mais pas toutes les variantes. PHP indique que la mise à jour est la seule correction complète de PHP2Shell. D’autres mesures de configuration, comme memory_limit=-1 ou des limites de taille de requête, ne couvrent elles aussi que des chemins particuliers. Un VPN peut restreindre l’accès au service, mais ne corrige pas le runtime vulnérable.

L’archive de PHP décrit également un vecteur RCE distinct, jugé peu probable, associé à CVE-2026-115560. Il suppose que session.serialize_handler soit réglé sur php_binary ou php_serialize, puis basculé vers php à l’exécution avant session_start(), alors que le suivi de progression des téléversements reste activé. Cette configuration particulière concerne cette note distincte, et non la correction des deux failles PHP2Shell.

Enfin, l’installation d’un correctif ne supprime pas d’éventuels fichiers malveillants ni les dommages déjà présents. Check Point recommande aussi de rechercher des fichiers PHP inconnus, des requêtes inhabituelles, des exécutions inattendues de commandes système et des connexions sortantes inconnues.