Un groupe d'entreprises technologiques, comprenant notamment OpenAI, Wiz et Calif.io, a révélé deux vulnérabilités de sécurité critiques dans le langage de programmation PHP, portant les identifiants CVE-2026-109618 et CVE-2026-109619, et désignées collectivement sous le nom de php2shell. Ces failles affectent tous les serveurs web exécutant des versions de PHP 5.4 et ultérieures, ouvrant la voie à des risques d'exécution de code à distance, de déni de service et de fuite de données sensibles.
Mécanisme des vulnérabilités
Les vulnérabilités php2shell résultent d'un défaut dans la gestion de la mémoire par PHP lors d'erreurs survenant pendant le traitement des requêtes HTTP. Dans des circonstances normales, PHP alloue de la mémoire pour les données requises puis la libère, mais en cas d'arrêt imprévu du traitement, le langage peut échouer à nettoyer la mémoire de manière sécurisée. Les attaquants exploitent cette situation en envoyant des requêtes HTTP spécialement conçues pour manipuler la mémoire invalide, ce qui entraîne le plantage des processus ou l'accès à des données non autorisées.
Réponse technique de Cloudflare
Cloudflare a devancé l'annonce publique de ces vulnérabilités d'environ 9 heures en déployant des règles de protection via son pare-feu d'applications web (WAF) pour tous ses clients, y compris les utilisateurs des offres gratuites. Pour la première fois, l'entreprise a utilisé une nouvelle capacité technologique appelée « Détection des transactions complètes » (Full Transaction Detection).
Cette technologie va au-delà des règles traditionnelles qui reposent uniquement sur l'analyse des requêtes des utilisateurs, en combinant les signaux provenant de la requête et de la réponse au sein d'une même transaction HTTP. Cela permet au système de bloquer la réponse du serveur d'origine s'il s'avère qu'elle contient des indicateurs d'exploitation, ce qui réduit la probabilité de faux positifs et augmente la précision de la protection.
Qu'est-ce qui change concrètement pour les utilisateurs ?
- Protection automatique : Les nouvelles règles ont été activées automatiquement pour tous les clients de Cloudflare sans nécessiter d'intervention manuelle.
- Multicouche : Bien que la protection WAF soit disponible, l'entreprise souligne qu'elle constitue une couche de défense supplémentaire et ne remplace pas la nécessité pour les administrateurs de sites de mettre immédiatement à jour leurs versions de PHP conformément aux recommandations des développeurs.
- Surveillance continue : Les analystes de sécurité de Cloudflare continuent de surveiller les tentatives d'exploitation et de mettre à jour les règles pour contrer d'éventuelles techniques de contournement imaginées par les attaquants.
Les utilisateurs peuvent consulter les journaux d'événements via le tableau de bord de Cloudflare (Security > Security Analytics > Events) pour s'assurer de l'activation de la protection et suivre toute tentative d'attaque bloquée à l'aide des identifiants de règles spécifiés dans la mise à jour de sécurité.