Qu’est-ce que PHP2Shell ?
PHP2Shell regroupe CVE-2026-109618 et CVE-2026-109619, deux classes de failles mémoire de PHP, notées CVSS v4.0 9,2. Les chercheurs ont démontré une exécution de code sans authentification et des fuites mémoire. Les correctifs datent du 21 octobre 2026. L’interpréteur lui-même est concerné.
Quelles installations vérifier ?
PHP recommande de mettre à jour toutes les installations Web : FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel et les applications internes partagent ce risque. Incluez interfaces d’administration, équipements, préproduction et conteneurs. Une mise à jour applicative ne remplace pas PHP.
FPM est-il exempté ?
Non. FPM termine son processus enfant si le démarrage de requête échoue, ce qui bloque certaines séquences initiales. Les chemins applicatifs et interrequêtes subsistent. N’assimilez pas toutes les configurations à la démonstration mod_php, mais ne dispensez pas FPM de mise à jour.
Rétroportages des distributions
Ubuntu, Debian et Linux d’entreprise conservent parfois un ancien numéro amont avec une révision corrigée. Un bandeau 8.3.6 ne prouve ni exposition ni correction. Vérifiez OS, dépôt, architecture et révision installée pour les DEUX CVE. Nous n’inventons pas de seuils de paquets.
PHP 8.1 et antérieurs
Pas de version régulière du projet PHP. Des rétroportages source minimaux existent exceptionnellement pour 7.4, 8.0 et 8.1 ; compilation et validation relèvent de l’opérateur. Un fournisseur OS ou LTS peut maintenir des paquets. La recherche remonte à 5.4, selon les chemins. Préparez une migration et vérifiez tout correctif intermédiaire.
Mesures temporaires incomplètes
Seul le patch complet couvre les variantes. Une configuration peut limiter certains chemins et perturber téléversements, performances ou disponibilité. Appliquez-la administrativement avant l’analyse des requêtes et redémarrez tous les processus. Lisez les deux avis. CDN et WAF ne prouvent pas la correction.
Un patch n’exclut pas une compromission
Le contrôle de version ne détecte pas une exploitation passée. Préservez journaux et preuves d’images, analysez plantages, fichiers, processus et connexions sortantes. L’absence d’erreur ne garantit rien. En cas de doute, isolez puis renouvelez les secrets exposés depuis un environnement fiable après confinement.
Méthode d’évaluation
La comparaison manuelle porte sur les versions stables complètes de quatre branches publiées. Les paquets fournisseurs exigent les deux avis CVE ; les versions inconnues restent inconnues. La vérification publique recueille des versions annoncées et des indices, sans preuve d’exploitation. En-têtes masqués, CDN ou instance corrigée ne prouvent pas la sécurité de tous les environnements. Les dates indiquent une revue éditoriale.
Un scanner gratuit prouve-t-il un piratage ?
Pas définitivement. En-têtes et motifs locaux donnent des pistes sans connaître runtime complet, historique manquant ou fuites mémoire. Inventoriez, préservez et corrélez. Si des comptes, processus ou divulgations sont inexpliqués, isolez et faites intervenir l’hébergeur ou l’équipe de réponse.
Tentative ou intrusion réussie ? →