Les détails de deux failles de sécurité critiques dans le langage de programmation PHP ont fuité en ligne, coïncidant avec les préparatifs de leur publication dans le cadre d'un calendrier de divulgation coordonnée et avant que les mises à jour officielles ne soient entièrement disponibles pour les utilisateurs. Les deux vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619, affichant toutes deux un degré de gravite critique de 9,2 sur l'échelle CVSS, ce qui les rend vulnérables à une exploitation potentielle sans nécessiter d'authentification, selon les avertissements de l'Agence de l'Union européenne pour la cybersécurité (CERT-EU).
Des rapports techniques ont attribué à ces vulnérabilités le nom de PHP2Shell, soulignant la capacité potentielle des attaquants à les exploiter pour obtenir des privilèges d'exécution de commandes (Shell) sur les serveurs compromis. Les premières estimations indiquent que toutes les versions de PHP à partir de la version 5 (PHP 5) incluse pourraient être touchées par ces failles logicielles.
Préparatifs d'urgence et confirmations des entreprises de sécurité
À la suite de la fuite, PHP s'est empressé de publier des avertissements demandant à tous les utilisateurs de se préparer à appliquer les mises à jour dès leur disponibilité, avec la possibilité de déployer les correctifs de manière anticipée si des preuves d'exploitation des vulnérabilités dans des environnements de production apparaissaient. De son côté, la société de gestion de l'exposition WatchTowr a confirmé avoir réussi à reproduire la vulnérabilité CVE-2026-109618, se contentant de confirmer l'existence réelle de la faille sans publier les détails techniques précis pour des raisons de sécurité.
Bien qu'aucune attaque active immédiate n'ait été initialement détectée par WatchTowr et Huntress, la société de cybersécurité Sansec a averti de la probabilité que des tentatives d'exploitation à grande échelle débutent en quelques minutes seulement après le lancement des correctifs. Par la suite, PHP a publié les mises à jour nécessaires, parallèlement à la détection par les entreprises de cybersécurité de tentatives d'exploitation réelles, dont certaines ont été enregistrées avant même que les correctifs ne parviennent aux serveurs ciblés.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution représente un risque majeur étant donné que le langage PHP constitue l'épine dorsale d'une proportion énorme de sites Web et de serveurs à travers le monde. Les vulnérabilités d'exécution de code à distance (RCE) ne nécessitant pas d'authentification permettent aux pirates de prendre le contrôle total de l'infrastructure compromise. Cet événement met également en évidence les défis persistants de la gestion des vulnérabilités lorsque les détails techniques fuient publiquement avant la disponibilité des correctifs, ce qui exerce une pression énorme sur les équipes de sécurité pour appliquer les mises à jour à une vitesse record afin d'éviter les attaques automatisées à grande échelle.