Le 20 octobre, l’équipe sécurité de PHP a confirmé deux vulnérabilités critiques dans le cœur du langage : CVE-2026-109618 et CVE-2026-109619, notées 9,2/10 (CVSS v4). Les informations ont fuité avant la fin de l’embargo, accompagnées d’un outil d’exploitation baptisé « PHP2Shell ». Le correctif officiel sort ce mercredi 21 octobre à 16h, heure de Paris.
Un grand merci à Greg de Kiboko pour l’alerte, on vous en doit une 🍺🍺🍺🍺.
Ce qu’il faut retenir
- Exécution de code à distance, sans authentification : une requête web bien formée peut suffire à faire exécuter des commandes au serveur.
- Toutes les versions depuis PHP 5.4 sont concernées, donc WordPress, WooCommerce, Magento, Laravel, Symfony… tout ce qui tourne sur PHP.
- Correctif le 21 octobre à 14h00 UTC (16h à Paris) : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- PHP 8.1, 7.4 et versions antérieures, en fin de vie, ne recevront pas de correctif officiel.
- Des premières attaques ont été observées dès le matin du 21 octobre, et les chercheurs s’attendent à des attaques de masse dans les minutes qui suivront la publication du correctif.
Que faire maintenant ?
- Inventorier : relever la version de PHP de chacun de vos sites et applications.
- Mettre à jour dès la sortie du correctif, vers 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 (ou plus récent).
- Migrer ou isoler les sites encore en PHP 8.1 ou plus ancien : sans correctif, ils resteront exposés.
- En attendant, appliquer les mesures recommandées par Sansec :
session.upload_progress.enabled = 0,session.use_strict_mode = 1et, si possible, filtrage des requêtesmultipart/form-dataau niveau du serveur web ou du WAF. - Surveiller les journaux et tout processus anormal lancé par PHP (shell, curl, wget…).
Besoin d’un coup de main ?
Vous ne savez pas quelle version de PHP fait tourner votre site, ou il tourne encore sur une version en fin de vie ? On fait le point avec vous et on planifie la mise à jour ou la migration.
Sources : Kiboko, php.net, Sansec, Tenable, Journal du Coin.
