PHP2Shell : une faille critique de PHP touche une grande partie du web

Le 21 octobre 2026, le projet PHP a publié en urgence des correctifs pour deux failles critiques de son moteur, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Leurs détails avaient fuité la veille, avant la date de divulgation prévue.

PHP fait tourner une grande partie des sites web, dont WordPress. Pour les ayants droit, cela comprend souvent le site vitrine, la boutique en ligne, le portail des abonnés ou le formulaire de contact.

Ce que permettent ces failles

Les deux failles permettent d’exécuter du code à distance, sans authentification. Elles sont notées 9,2 sur 10 (CVSS v4.0).

• Elles se trouvent dans le moteur PHP lui-même : un site bien programmé est vulnérable lui aussi, puisque l’attaque ne dépend pas du code de l’application.
• Selon le projet PHP, toutes les installations qui répondent à des requêtes web sont concernées, quel que soit le mode d’exécution (PHP-FPM, Apache mod_php, LiteSpeed, etc.).
• Selon Wiz, qui a découvert les failles, elles permettent aussi de lire la mémoire du serveur, et donc d’y récupérer des mots de passe, des jetons de connexion ou des clés d’API.

Au moment de publier son alerte, l’agence américaine de cybersécurité (CISA) n’avait pas encore observé d’attaque. Mais la fuite des détails a raccourci le délai dont disposent les administrateurs.

L’IA a accéléré la découverte

Les chercheurs de Wiz ont signalé les failles à l’équipe de PHP le 24 août 2026. Ils expliquent avoir utilisé des modèles d’IA pour mettre au point les attaques, alors que les défauts eux-mêmes étaient anciens. C’est une tendance que nous suivons de près : l’IA abaisse le coût de l’attaque, et le délai entre une faille connue et son exploitation se réduit.

Que faire

• Mettre à jour PHP vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou plus récent. Le projet PHP est clair : aucune mesure de contournement n’est complète, et la mise à jour reste la seule option sûre.
• Versions anciennes (7.4, 8.0, 8.1) : elles ne sont plus maintenues. L’équipe de PHP a publié des correctifs minimaux, mais il faut surtout migrer vers une version supportée.
• Site hébergé : demandez à votre hébergeur si ses serveurs ont reçu les correctifs. La version de PHP est souvent indiquée dans le panneau de contrôle.
• Site qui ne peut pas être mis à jour tout de suite : la CISA recommande de le mettre hors ligne en attendant.
• Après la mise à jour, changez les mots de passe et les clés d’API stockés sur le serveur si vous avez un doute.

Un site piraté peut servir à héberger du contenu illégal ou à rediriger vos visiteurs vers des arnaques, sous votre nom. Protéger son serveur fait partie de la protection de sa marque.

Sources

• Projet PHP, annonce de sécurité du 21 octobre 2026 : php.net
• CISA, alerte du 21 octobre 2026 : cisa.gov
• Wiz Research, analyse technique : wiz.io
• Huntress, sur la fuite du 20 octobre : huntress.com
• Help Net Security (21 octobre 2026) : helpnetsecurity.com