L'équipe de sécurité du langage PHP a publié des mises à jour de sécurité d'urgence pour traiter deux vulnérabilités critiques de type exécution de code à distance (RCE), suivies sous le nom de PHP2Shell. Les deux vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619, et permettent à des attaquants non autorisés de prendre le contrôle des serveurs affectés.
Détails et impact des vulnérabilités
Ces vulnérabilités ont été découvertes grâce aux efforts conjoints de chercheurs des entreprises Calif, OpenAI et Wiz. La dangerosité de ces failles réside dans le fait qu'elles affectent tous les environnements d'exécution PHP traitant des requêtes web, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed.
L'équipe de sécurité de PHP a expliqué que le risque le plus élevé concerne les configurations mod_php, où un attaquant non autorisé peut exécuter une attaque avant même le démarrage de tout code spécifique à l'application. Les deux vulnérabilités découlent d'un problème fondamental lié à la persistance de la mémoire dans un état corrompu lors d'une terminaison anormale de la requête, ce qui ouvre la voie à une exploitation pour l'exécution de code à distance.
Actions requises pour les administrateurs
Les administrateurs système doivent mettre à jour leurs serveurs immédiatement vers les versions sécurisées suivantes : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Pour les anciennes versions (7.4, 8.0, 8.1) qui ne reçoivent plus de mises à jour officielles, l'équipe PHP a fourni des correctifs (backports) pour aider à sécuriser les systèmes qui dépendent encore de ces versions.
Pourquoi cette nouvelle est-elle importante ?
Le langage PHP constitue l'épine dorsale d'environ 75 % à 80 % des sites web dans le monde, y compris des plateformes populaires telles que WordPress et Drupal. Avec plus de 5 millions de serveurs PHP exposés sur Internet, l'exploitation de ces vulnérabilités représente une menace à grande échelle. La société Cloudflare a confirmé avoir déjà détecté des tentatives d'exploitation précoces de ces failles, ce qui a incité le Centre national de cybersécurité du Royaume-Uni (NCSC) à émettre un avertissement urgent aux organisations sur la nécessité d'une mise à jour immédiate ou de la déconnexion des systèmes du réseau.
Mesures d'atténuation temporaires
En cas d'impossibilité de mise à jour immédiate, l'équipe de sécurité de PHP a proposé certaines mesures d'atténuation pour réduire les risques d'exploitation, notamment :
- Pour la vulnérabilité CVE-2026-109618 : régler memory_limit sur -1 et réduire post_max_size à 8 Mo (ou 32 Mo si le téléchargement de fichiers est nécessaire).
- Pour la vulnérabilité CVE-2026-109619 : régler session.upload_progress.enabled sur 0, et dans la version 8.5, régler fatal_error_backtraces sur 0 tout en redémarrant les processus (workers).
Les développeurs soulignent que ces mesures ne garantissent pas une protection complète et que la mise à jour officielle est le seul moyen d'assurer la sécurité du serveur de manière permanente.