Des rapports techniques ont confirmé que des attaquants ont réussi à exploiter des vulnérabilités de sécurité critiques connues sous le nom de PHP2Shell (enregistrées sous les identifiants CVE-2026-109618 et CVE-2026-109619) pour exécuter des commandes à distance (RCE) dans de réels environnements de production.
Cette confirmation fait suite à la détection d'une activité malveillante par Adel Karimi, responsable de la détection et de la réponse chez Perplexity, où des « pots de miel » (honeypots) ont enregistré des preuves irréfutables de l'exécution de commandes à distance contre une installation d'Apache mod_php exécutant la version PHP 8.4.26. Karimi a expliqué que l'attaque ne s'est pas limitée à provoquer un plantage du système, mais a également inclus une divulgation de mémoire (memory disclosure) permettant aux attaquants d'extraire des données et de les utiliser dans des charges utiles d'exécution ultérieures.
Évolution des attaques : du scan à l'intrusion
Bien que de nombreuses entreprises de cybersécurité, telles que Cloudflare et Patchstack, aient détecté des tentatives d'exploitation de ces vulnérabilités avant leur divulgation, ces tentatives étaient classées comme infructueuses ou comme de simples opérations de balayage et d'identification (scanning and fingerprinting). Cependant, la découverte de Karimi, également confirmée par le chercheur en menaces Marcus Hutchins d'Expel, représente un passage critique de la phase d'exploration des vulnérabilités à celle d'une compromission réelle et réussie.
Pourquoi cette nouvelle est-elle extrêmement dangereuse ?
Le danger réside dans la large adoption de PHP. Selon les estimations de VirusTotal, PHP alimente environ 70 % de tous les sites web sur Internet, avec plus de 5,1 millions d'hôtes (hosts) exécutant PHP et exposés à Internet. Cela signifie que toute faille permettant l'exécution de commandes à distance dans ce langage ouvre la porte à des attaques à grande échelle susceptibles de cibler l'infrastructure numérique mondiale.
Avertissement concernant une nouvelle vulnérabilité et mesures de protection
Parallèlement au traitement des vulnérabilités PHP2Shell, l'équipe de sécurité de PHP a averti de l'existence d'une nouvelle vulnérabilité RCE (CVE-2026-115560) qui ne dispose d'aucun correctif (patch) pour le moment, et qui cible les systèmes dotés de configurations et d'applications non traditionnelles. Pour protéger les systèmes, il est recommandé de suivre les mesures suivantes :
- Mettre à jour PHP immédiatement : Les administrateurs système doivent installer les correctifs de sécurité publiés par l'équipe PHP le 21 octobre pour remédier aux vulnérabilités PHP2Shell.
- Mesure préventive urgente : Pour faire face à la nouvelle vulnérabilité (CVE-2026-115560) qui ne dispose actuellement d'aucun correctif, il est conseillé de désactiver la fonctionnalité de téléchargement de fichiers par session en configurant le paramètre suivant dans le fichier de configuration : session.upload_progress.enabled=0.