Cybersécurité : deux failles critiques baptisées « PHP2Shell » menacent des millions de serveurs web

L'équipe de sécurité du langage de programmation PHP, qui fait tourner une large part du web mondial, a publié le 21 octobre des correctifs d'urgence pour deux vulnérabilités critiques surnommées « PHP2Shell ». Ces failles permettent une exécution de code à distance sans authentification, c'est-à-dire qu'un attaquant peut potentiellement prendre le contrôle d'un serveur sans disposer du moindre identifiant.

Deux failles, deux mécanismes différents

La première, référencée CVE-2026-109618, est déclenchée par une corruption de mémoire de type « manque de mémoire », qui peut enclencher une chaîne d'exécution de code à distance. La seconde, CVE-2026-109619, repose sur un état global obsolète du programme, permettant une utilisation de mémoire après sa libération (un défaut classique en sécurité informatique), susceptible d'entraîner à la fois une fuite de données et une exécution de code. Aucun score de gravité CVSS officiel n'a été communiqué publiquement par l'équipe PHP au moment de la publication des correctifs, mais plusieurs chercheurs en sécurité les classent parmi les vulnérabilités les plus sérieuses découvertes dans PHP ces dernières années.

Les deux failles ont été découvertes par plusieurs équipes de recherche indépendantes, dont celles des entreprises Wiz et OpenAI.

Des millions de serveurs potentiellement exposés

Ces vulnérabilités touchent l'ensemble des configurations PHP qui traitent des requêtes web : PHP-FPM, Apache couplé à mod_php, php-cgi, ainsi que les environnements plus récents FrankenPHP et LiteSpeed. Dans certains cas, notamment avec mod_php, l'exploitation peut survenir avant même que le code de l'application elle-même ne soit exécuté. Selon des données de l'outil d'analyse VirusTotal, plus de 5,1 millions d'hôtes utilisant PHP seraient exposés publiquement sur internet, dont environ 3,8 millions disposant d'au moins un port ouvert accessible depuis l'extérieur. Si les grands systèmes de gestion de contenu comme WordPress, Drupal ou Joomla ne sont pas directement cités comme vulnérables par les correctifs publiés, ils reposent tous sur le moteur PHP : un site construit sur l'une de ces plateformes reste donc exposé si le PHP sous-jacent du serveur n'est pas mis à jour.

Des correctifs disponibles, une course contre la montre

L'équipe de sécurité PHP avait prévenu les administrateurs systèmes dès le 20 octobre de se préparer à une publication d'urgence, avant de diffuser les correctifs le lendemain. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les versions 8.1 et antérieures ne reçoivent plus de mises à jour officielles du projet PHP, mais des correctifs rétroportés ont été proposés pour les versions 7.4, 8.0 et 8.1 à destination de ceux qui compilent PHP depuis les sources ; certaines distributions Linux et éditeurs proposant un support à long terme pourraient également publier leurs propres correctifs.

« La mise à jour est la seule protection définitive », a insisté un développeur du noyau de PHP, cité par plusieurs médias spécialisés.

Pour les administrateurs ne pouvant pas appliquer immédiatement la mise à jour, l'équipe PHP recommande des mesures temporaires : fixer la limite de mémoire à une valeur non modifiable par les applications et réduire la taille maximale des requêtes autorisées pour limiter l'exposition à la première faille, et désactiver certaines options de suivi de progression des téléversements pour la seconde. Ces mesures réduisent le risque sans l'éliminer totalement.

Des tentatives d'exploitation déjà observées

Le fournisseur de services de sécurité web Cloudflare indique avoir déjà repéré des tentatives d'exploitation précoces de ces failles, bien que ses règles de pare-feu applicatif ne constituent qu'une protection temporaire. L'agence américaine de cybersécurité CISA a publié une alerte officielle pressant les administrateurs de corriger leurs systèmes « sans délai ». Le centre national britannique de cybersécurité (NCSC) va plus loin, recommandant de mettre à jour immédiatement les systèmes utilisant PHP ou, à défaut, de les mettre hors ligne tant qu'ils ne sont pas corrigés.

Ce qui reste incertain

Le nombre exact de serveurs déjà compromis n'est pas connu à ce stade, et aucun score de gravité CVSS officiel n'avait été publié par l'équipe PHP au moment de la rédaction de cet article.