PHP2Shell : deux failles critiques frappent PHP, votre site est-il exposé ?
Mise à jour du 21 octobre, 16h20 : le correctif est disponible. Mettez à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 dès maintenant.
L’équipe sécurité de PHP a publié une mise à jour de sécurité d’urgence qui corrige deux vulnérabilités critiques, surnommées PHP2Shell. Notées 9,2 sur 10, elles permettent d’exécuter du code à distance sur un serveur, sans authentification. WordPress, WooCommerce, Drupal, Joomla, Magento, Laravel ou applications sur mesure : si votre site tourne sous PHP, il est concerné.
Que sait-on des failles PHP2Shell ?
Le 20 octobre, l’équipe PHP a publié un avis inhabituel annonçant un correctif pour le mercredi 21 octobre à 14h00 UTC, soit 16h00 heure belge. Il est désormais disponible sous la forme de quatre versions : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les deux failles corrigées sont notées 9,2 sur l’échelle CVSS v4.0.
Ce calendrier serré s’explique par une fuite : des informations sur ces failles ont circulé en ligne avant la date de divulgation coordonnée, prévue initialement le jeudi 22. La société de recherche watchTowr avait alors confirmé auprès de BleepingComputer que les vulnérabilités étaient bien réelles.
Les deux failles portent les identifiants CVE-2026-109618 et CVE-2026-109619. Selon l’avis officiel, la première exploite la gestion des dépassements de mémoire, qui peut laisser des données de requête à moitié initialisées. La seconde repose sur un état interne qui survit à la libération de sa mémoire et peut être réutilisé par la requête suivante du même processus. Leur surnom résume l’enjeu : passer de PHP à un accès direct au serveur (shell).
Tous les utilisateurs de PHP sont vivement encouragés à mettre à jour immédiatement.
Pourquoi ces vulnérabilités sont-elles si dangereuses ?
Une exécution de code à distance, sans authentification
Une personne malveillante peut faire tourner son propre programme sur le serveur qui héberge votre site, sans compte ni mot de passe. À partir de là, tout devient possible : vol de données clients, modification d’une page de paiement, installation d’une porte dérobée, envoi de spam ou rançongiciel. Pour une boutique en ligne, l’enjeu touche aussi au RGPD et à la confiance de vos clients.
Toutes les configurations web sont exposées
L’équipe PHP considère comme à risque toute installation qui sert des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le risque est jugé le plus élevé avec mod_php, pour lequel une attaque a été démontrée avant même l’exécution du code de votre site.
Une course contre la montre
Dès qu’un correctif est publié, les attaquants l’analysent pour comprendre la faille. La société Sansec s’attendait à des vagues d’attaques automatisées dans le quart d’heure suivant la publication. Ce matin, l’éditeur gantois Aikido faisait par ailleurs état de premiers cas d’exploitation signalés.
Des parades partielles seulement
L’équipe PHP liste quelques réglages qui réduisent l’exposition si vous ne pouvez pas mettre à jour tout de suite, par exemple désactiver session.upload_progress.enabled ou limiter post_max_size. Elle précise toutefois qu’ils ne rendent pas une installation sûre. La mise à jour reste la seule vraie protection.
Mon site est-il concerné ?
Tout dépend de la version de PHP qui fait tourner votre site :
- PHP 8.2, 8.3, 8.4 et 8.5 : mettez à jour vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Notez que PHP 8.2 arrive en fin de vie le 31 décembre 2026 ;
- PHP 8.1 et antérieures (8.0, 7.x, 5.x) : le projet PHP ne publie plus de nouvelles versions pour ces branches. Certaines distributions Linux et certains fournisseurs de support étendu proposent des correctifs rétroportés ; sinon, une migration s’impose. C’est le scénario le plus risqué.
Ce deuxième cas est loin d’être marginal. D’après un relevé de la société Mallory cité par Techloy, environ 884 000 serveurs accessibles depuis Internet tournent encore sous PHP 8.1 ou plus ancien, soit près de six sur dix parmi ceux qui affichent leur version.
Pour connaître votre version sous WordPress, rendez-vous dans Outils > Santé du site > Infos > Serveur. Attention : la version affichée en ligne de commande n’est pas toujours celle qui sert réellement votre site.
Comment protéger mon site dès aujourd'hui ?
- Identifiez qui gère PHP : sur un hébergement mutualisé ou géré, c’est en principe votre hébergeur ; sur un VPS ou un serveur dédié, c’est à vous ou à votre prestataire d’agir.
- Sauvegardez fichiers et base de données avant toute intervention, et vérifiez que vous savez les restaurer.
- Appliquez le correctif sans attendre : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le paquet de sécurité de votre distribution Linux, qui peut conserver un numéro de version différent. Redémarrez ensuite les services concernés (PHP-FPM, Apache…) et contrôlez que la version corrigée est bien active. Si vous utilisez le dépôt remirepo, sachez qu’il n’est pas mis à jour aujourd’hui.
- Migrez les versions obsolètes vers une branche maintenue. En attendant, le CERT-EU recommande d’isoler les applications exposées, voire de les mettre temporairement hors ligne.
- Cherchez des traces d’intrusion après le patch : fichiers PHP inconnus ou modifiés, nouveaux comptes administrateur, tâches planifiées suspectes, connexions sortantes inhabituelles. Corriger la faille ne fait pas partir un intrus déjà installé.
Notez qu’une migration de version n’est pas qu’un bouton à cocher : extensions, thèmes et développements sur mesure doivent être testés pour éviter de casser le site au passage.
Unlidot vous accompagne : audit et correction
Vous n’avez ni le temps ni l’envie de plonger dans vos serveurs aujourd’hui ? C’est précisément notre métier. L’équipe Unlidot est disponible dès maintenant pour sécuriser vos sites face à PHP2Shell :
- Audit express : inventaire de vos sites et serveurs, version PHP réellement en production, niveau d’exposition ;
- Application du correctif : dès sa publication, avec sauvegarde préalable, coordination avec votre hébergeur et vérification ;
- Migration des versions obsolètes : passage vers PHP 8.3 ou 8.4, avec tests de compatibilité de vos extensions, thèmes et développements ;
- Contrôle post-correctif : recherche de compromission, nettoyage si nécessaire et renforcement de la configuration ;
- Suivi dans la durée : maintenance et veille sécurité pour ne plus être pris de court à la prochaine alerte.
En savoir plus sur PHP2Shell
L’équipe PHP détaille les versions corrigées et les mesures d’atténuation temporaires dans son avis de sécurité officiel. Les détails techniques complets figurent dans les deux avis GitHub : CVE-2026-109618 et CVE-2026-109619.
Help Net Security propose une check-list de préparation claire pour les administrateurs. BigGo Finance revient en détail sur la chronologie de la fuite et sur les mesures de surveillance recommandées.
Grâce à notre équipe d’experts Web, faites auditer et corriger votre site avant qu’il ne devienne une porte d’entrée.
Discutons dès aujourd’hui de la sécurité de votre site internet !
Photo à la une: Eduardo Romero.
