Qu’est-ce que PHP2Shell ?
PHP2Shell regroupe CVE-2026-109618 et CVE-2026-109619, deux classes de failles mémoire de PHP, notées CVSS v4.0 9,2. Les chercheurs ont démontré une exécution de code sans authentification et des fuites mémoire. Les correctifs datent du 21 octobre 2026. L’interpréteur lui-même est concerné.
Quelles installations vérifier ?
PHP recommande de mettre à jour toutes les installations Web : FPM, mod_php, php-cgi, FrankenPHP et LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel et les applications internes partagent ce risque. Incluez interfaces d’administration, équipements, préproduction et conteneurs. Une mise à jour applicative ne remplace pas PHP.
FPM est-il exempté ?
Non. FPM termine son processus enfant si le démarrage de requête échoue, ce qui bloque certaines séquences initiales. Les chemins applicatifs et interrequêtes subsistent. N’assimilez pas toutes les configurations à la démonstration mod_php, mais ne dispensez pas FPM de mise à jour.
PHP 8.1 et antérieurs
Pas de version régulière du projet PHP. Des rétroportages source minimaux existent exceptionnellement pour 7.4, 8.0 et 8.1 ; compilation et validation relèvent de l’opérateur. Un fournisseur OS ou LTS peut maintenir des paquets. La recherche remonte à 5.4, selon les chemins. Préparez une migration et vérifiez tout correctif intermédiaire.
Comprendre PHP2Shell simplement
PHP est le moteur de WordPress, Laravel et des plugins. Mettre à jour un plugin ne met pas PHP à jour. Deux failles mémoire peuvent transformer un nettoyage anormal de requête en divulgation ou exécution de code. Le contrôle public fournit des indices ; l’hébergeur doit confirmer le runtime Web et son correctif.
Outils PHP2Shell →Preuves par environnement PHP
| Environnement | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE démontrée | RCE démontrée |
| PHP-FPM | Exposition dépendant de l’application ; aucun exploit FPM complet démontré pour cette CVE | RCE démontrée via un chemin applicatif adapté |
Mettez aussi à jour php-cgi, FrankenPHP et LiteSpeed. PHP recommande la mise à jour de toutes les installations Web. Ce tableau distingue les chemins démontrés de l’exposition générale.