En 2024, un développeur de PHP a repéré des signes précoces du défaut de gestion mémoire à l’origine de CVE-2026-109618 en travaillant sur un constat d’audit externe de Quarkslab. Selon le récit de la PHP Foundation, aucun exploit concret n’avait alors été démontré. Cette alerte portait sur une cause racine de PHP2Shell, pas sur la démonstration des deux failles.
Ce qui a été repéré en 2024
PHP2Shell désigne deux vulnérabilités du cœur de PHP, CVE-2026-109618 et CVE-2026-109619. Le signal observé en 2024 concernait la première : une erreur de gestion de la mémoire insuffisante pouvait laisser des données internes dans un état incomplet. Le constat a émergé pendant le traitement d’une faille relevée lors d’un audit externe de Quarkslab.
La PHP Foundation situe cette observation au stade des premiers signes du problème. Un exploit avait été envisagé, mais aucun exploit concret n’avait été démontré à ce moment-là. Il ne s’agissait donc pas encore du tableau complet de PHP2Shell connu lors des signalements de 2026.
Pourquoi la correction a tardé
Les correctifs envisagés comportaient des compromis techniques. Selon la PHP Foundation, certaines options risquaient de casser la compatibilité avec d’anciennes versions ou des extensions, tandis que d’autres pouvaient ouvrir un risque de déni de service. Les travaux ont été retardés par ces arbitrages, un processus de décision difficile et des ressources limitées.
La chronologie rapportée par la Foundation fait état de plusieurs mois de discussions et de reprises du travail avant la publication des correctifs. L’enjeu était de corriger le défaut sans introduire d’autres problèmes pour les logiciels qui dépendent de PHP.
Des signalements de 2026 aux correctifs
Les signalements ultérieurs ont impliqué plusieurs chercheurs et équipes. Le 11 août 2026, Ryan Austin, chercheur chez Calif, a signalé une exécution de code à distance. OpenAI a rapporté indépendamment la même cause racine ce jour-là. Wiz Research a transmis ses travaux à l’équipe de sécurité de PHP le 24 août, puis OpenAI a signalé d’autres vecteurs d’attaque le 18 septembre, selon le récit de la PHP Foundation.
| Date | Événement |
| 2024 | Un développeur de PHP repère les premiers signes du défaut de gestion mémoire lié à CVE-2026-109618 en traitant un constat d’audit externe de Quarkslab. |
| 11 août 2026 | Ryan Austin, de Calif, signale une exécution de code à distance ; OpenAI rapporte séparément la même cause racine. |
| 24 août 2026 | Wiz Research transmet ses travaux à l’équipe de sécurité de PHP. |
| 18 septembre 2026 | OpenAI signale d’autres vecteurs d’attaque, selon le récit de la PHP Foundation. |
| 21 octobre 2026 | PHP publie les versions qui corrigent les deux vulnérabilités. |
| 26 octobre 2026 | CISA ajoute les deux CVE à son catalogue KEV. |
CISA a inscrit les deux failles à son catalogue des vulnérabilités exploitées connues le 26 octobre. NeoTeo a consacré un article à cette inscription dans le catalogue KEV.
Le 21 octobre, PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les distributions Linux et les fournisseurs de support à long terme peuvent proposer des correctifs rétroportés dans leurs propres paquets, comme le précise l’avis de sécurité officiel de PHP.
