Le 26 octobre 2026, CISA a ajouté CVE-2026-109618 et CVE-2026-109619, les deux failles PHP2Shell, à son catalogue des vulnérabilités exploitées connues (KEV). Son alerte recommande aux organisations d’inventorier PHP, y compris dans les logiciels qui l’intègrent, de prioriser les systèmes exposés à Internet et de surveiller l’activité suspecte des processus PHP.
Pourquoi CISA a inscrit PHP2Shell à KEV
Les deux vulnérabilités peuvent permettre une exécution de code à distance sans authentification. CVE-2026-109618 concerne la corruption de données internes lors d’une erreur de mémoire insuffisante. CVE-2026-109619 porte sur un état interne qui peut subsister après la libération de la mémoire et être réutilisé par une requête ultérieure traitée par le même processus.
Le projet PHP avait publié les versions correctives le 21 octobre 2026 : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Son avis de sécurité précise les versions et les environnements concernés. NeoTeo avait également présenté les versions de PHP qui corrigent ces failles.
CISA avait enrichi son alerte le 23 octobre avec une règle de détection Sigma, puis ajouté les deux CVE à KEV le 26 octobre. Cette inscription concerne CVE-2026-109618 et CVE-2026-109619, pas toutes les installations PHP indistinctement.
Ce que les opérateurs doivent inventorier et surveiller
CISA recommande de recenser PHP à l’échelle de l’organisation, y compris lorsqu’il est intégré à un autre logiciel, puis de traiter en priorité les systèmes accessibles depuis Internet. Le projet PHP cite notamment PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed parmi les environnements qui servent des requêtes web et peuvent être concernés.
Si une mise à jour immédiate est impossible, ou si un système utilise PHP 8.1 ou une version antérieure non prise en charge par le projet PHP, CISA recommande de le mettre hors ligne jusqu’à sa mise à jour. L’agence conseille aussi de surveiller les processus PHP qui lancent des shells ou téléchargent des outils.
Un pare-feu applicatif (WAF) peut apporter une protection partielle pendant la préparation d’une mise à jour. Le projet PHP précise que les mesures provisoires ne rendent pas l’installation sûre : la mise à jour vers une version corrigée reste la solution complète. Pour les anciennes branches, des distributions et fournisseurs de support à long terme peuvent proposer leurs propres correctifs rétroportés.
Le correctif traite la vulnérabilité du runtime, mais ne permet pas à lui seul de déterminer si une intrusion a eu lieu auparavant. La surveillance des activités suspectes recommandée par CISA reste donc pertinente après la mise à jour.
Ce que montrent les observations de Wiz
Wiz distingue trois mesures dans sa télémétrie. Chacune porte sur une population différente, et la durée de cinq jours ne concerne que la troisième.
| Mesure suivie par Wiz | Évolution rapportée | Population et période |
| Machines vulnérables distinctes exposées à Internet, comptées chaque jour | Baisse d’environ 67 % après la divulgation publique | Machines observées par Wiz |
| Organisations ayant au moins une instance vulnérable exposée | Baisse d’environ 47,9 % | Organisations observées par Wiz |
| Part des machines vulnérables exposées utilisant PHP 7.3 ou une version antérieure | De 8,3 % à 5,7 % | Population observée sur cinq jours |
Wiz précise que la couverture de ses scans et les changements dans la population observée peuvent influer sur ces tendances. Ses mesures ne permettent pas d’isoler la part des mises à jour, des migrations, du retrait de machines ou des restrictions d’accès dans la baisse constatée.
Wiz indique ne pas avoir observé de chaîne d’exploitation complète dans les tentatives qu’il a capturées. Son compte rendu cite toutefois une exécution réussie rapportée sur un honeypot configuré avec Apache mod_php à un seul worker. Ce résultat concerne cette configuration précise.
