PHP s’apprête à publier des correctifs d’urgence
Deux vulnérabilités critiques, score CVSS v4.0 de 9,2 sur 10. Les administrateurs sont invités à se préparer aux correctifs.
PHP s’apprête à publier des correctifs d’urgence
L’équipe de sécurité de PHP a averti les utilisateurs de l’existence de deux vulnérabilités critiques et a demandé aux administrateurs de se préparer à une prochaine mise à jour de sécurité. Les deux failles affichent un score CVSS v4.0 de 9,2 sur 10.
La publication des mises à jour était prévue pour le mercredi 21 octobre 2026 à 14 h 00 UTC, laissant aux propriétaires de sites web et aux hébergeurs peu de temps pour se préparer.
Dans son avis de sécurité officiel publié le 20 octobre, PHP a indiqué que les détails techniques complets, les versions concernées et les versions corrigées seraient communiqués en même temps que les correctifs. L’équipe pourrait publier les mises à jour plus tôt si l’une des vulnérabilités venait à être rendue publique ou si des signes d’attaques actives étaient détectés.
Des vulnérabilités d’exécution de code à distance
Les informations publiées dans les médias associent les correctifs à venir aux identifiants CVE-2026-109618 et CVE-2026-109619. La société de sécurité watchTowr décrit ces failles comme des vulnérabilités permettant une exécution de code à distance (Remote Code Execution, ou RCE), ce qui pourrait permettre à des attaquants d’exécuter leur propre code sur les serveurs concernés.
Cependant, l’avis préliminaire de PHP ne mentionne pas ces identifiants CVE et n’explique pas le fonctionnement des vulnérabilités.
L’avis de CERT-EU fait également référence aux deux identifiants et met en garde contre un risque potentiel d’exécution de code à distance sans authentification. Son évaluation repose en partie sur des informations divulguées. Les administrateurs doivent donc distinguer ces informations des faits plus limités confirmés directement par PHP.
Certains rapports suggèrent que les vulnérabilités pourraient toucher les versions de PHP depuis la version 5. Le fournisseur n’a toutefois pas confirmé cette affirmation générale. PHP n’a pas encore précisé si les installations par défaut étaient vulnérables, quels paramètres seraient nécessaires pour exploiter les failles ni si certains systèmes d’exploitation étaient davantage exposés.
Certaines publications initiales ont attribué aux failles un score de gravité maximal de 10,0. Pourtant, le score publié par PHP est de 9,2 selon la norme CVSS v4.0 pour chacune des deux vulnérabilités. Ce score officiel doit servir de référence jusqu’à ce que de nouvelles informations permettent de mieux comprendre les risques réels et les conditions d’exploitation.
Mise à jour 1 : publication d’une preuve de concept
Un dépôt public de preuve de concept (Proof of Concept, ou PoC) propose des outils de vérification et un environnement de laboratoire permettant de tester deux vulnérabilités critiques de PHP connues sous le nom de php2shell.
Mise à jour 2 : Cloudflare détecte les premières tentatives d’exploitation
Cloudflare indique observer les premières tentatives d’exploitation de deux vulnérabilités critiques de PHP, dont les détails ont été divulgués avant la publication prévue par l’équipe de sécurité de PHP.
Mise à jour 3 : PHP publie des correctifs d’urgence
PHP publie des correctifs d’urgence pour les failles php2shell, qui menacent des millions de serveurs web.
Aucune exploitation confirmée dans la nature au moment du premier rapport
Au moment de la mise à jour de son article, watchTowr indiquait ne pas avoir connaissance d’une exploitation des vulnérabilités dans des attaques réelles. L’avertissement de PHP concernant une éventuelle publication anticipée des correctifs relève d’une mesure de précaution et ne constitue pas une confirmation d’attaques en cours.
Les affirmations concernant des démonstrations divulguées ou du code d’exploitation ne doivent pas être considérées comme une preuve d’attaques contre des cibles réelles.
Des incidents antérieurs montrent pourquoi les administrateurs doivent se préparer à réagir rapidement. Cybersecurity News avait documenté l’exploitation active de CVE-2024-4577, une faille PHP distincte, avec des tentatives d’exploitation détectées dans les 24 heures suivant sa divulgation.
Cet épisode illustre l’importance d’une préparation rapide aux correctifs, mais ne prouve pas que les nouvelles vulnérabilités soient exploitées.
La publication a également couvert, plus tôt en 2026, des vulnérabilités touchant l’extension SOAP de PHP. Ces problèmes concernaient d’autres composants et nécessitaient des correctifs distincts. Les administrateurs ne doivent donc pas supposer que l’installation des correctifs antérieurs suffit à résoudre les deux vulnérabilités présentées ici.
Recommandations pour les administrateurs
CERT-EU recommande aux organisations de recenser dès maintenant leurs applications PHP et de préparer l’installation des correctifs dès que les versions corrigées seront disponibles.
Si l’application immédiate des correctifs est impossible, les organisations devraient envisager d’isoler les applications accessibles depuis Internet afin de limiter leur exposition aux réseaux publics. Toute décision d’isolation doit toutefois tenir compte des exigences de disponibilité des services et des besoins opérationnels.
Les équipes informatiques devraient profiter de ce délai de préparation pour :
- Recenser les installations PHP et identifier les applications concernées.
- Déterminer les responsabilités : confirmer qui gère chaque installation de PHP.
- Préparer le déploiement des mises à jour sur les environnements de production.
- Vérifier les versions concernées dès la publication de la liste officielle par PHP.
- Installer rapidement les correctifs appropriés sur les systèmes vulnérables.
- Contrôler la version de PHP après la mise à jour afin de confirmer que le correctif est bien appliqué.
D’ici là, aucun système ne doit être déclaré sécurisé uniquement parce que sa configuration semble différente de celles évoquées dans les informations circulant en ligne.
Une alerte EDR révèle une attaque. Mais permet-elle d’en comprendre toute l’histoire ? Découvrez comment reconstituer la chronologie d’une attaque.