Le 20 octobre 2026, l’équipe PHP a annoncé en urgence une mise à jour de sécurité après la fuite d’informations sur deux vulnérabilités baptisées « php2shell ». Elles permettent à un attaquant non authentifié d’exécuter du code arbitraire à distance sur tout serveur PHP qui traite des requêtes web (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed). Le risque est le plus élevé avec mod_php. Les correctifs ont été publiés le 21 octobre 2026.
Vulnérabilités
CVE-2026-109618 : CVSS 9.2
Corruption mémoire (OOM) : des données de requête partiellement initialisées sont traitées comme valides.
CVE-2026-109619 : CVSS 9.2
État global obsolète : un état de requête libéré peut être réutilisé par la requête suivante du même worker.
Systèmes affectés
- PHP 8.5 : versions antérieures à 8.5.12
- PHP 8.4 : versions antérieures à 8.4.27
- PHP 8.3 : versions antérieures à 8.3.36
- PHP 8.2 : versions antérieures à 8.2.35
- PHP 8.1 et antérieures : fin de vie, pas de correctif officiel (rétroportages 7.4 à 8.1 sur GitHub).
État de la menace
WatchTowr a reproduit CVE-2026-109618. Un code d’exploitation non vérifié circule (risque de malware). Cloudflare signale les premières attaques ; aucune exploitation massive n’est confirmée à ce stade.
Actions recommandées
1. Inventorier
Serveurs et conteneurs PHP : version servie et SAPI, instances oubliées comprises.
2. Mettre à jour
Installer 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, puis redémarrer.
3. Atténuer
4. Migrer
Mesures d'atténuation de la CVE-2026-109619
Désactiver session.upload_progress.enabled côté serveur web, puis redémarrer les workers (ini_set() et .user.ini sont inefficaces).
PHP-FPM : fichier
.inidansfpm/conf.d/mod_php : fichier
.inidansapache2/conf.d/Mutualisé :
php_flag … off(.htaccess)Docker :
/usr/local/etc/php/conf.d/
Mesures d'atténuation de la CVE-2026-109618
memory_limit = -1viaphp_admin_valuepost_max_size = 8M(32M avec upload)upload_max_filesizeinférieur àpost_max_sizeRLIMIT_AS / _DATAà ne pas utiliser.
Compléments : limiter les POST multipart sur WAF / proxy ; sur PHP 8.5, fatal_error_backtraces = 0.
Important : Ces mesures ne remplacent pas la mise à jour.
Nos équipes du pôle cyber sont à votre disposition
pour vous aider sur ce sujet.
