Qu’est-ce que la CVE-2026-109618 ?
La CVE-2026-109618 est l’une des deux vulnérabilités PHP2Shell. Son intitulé officiel chez PHP est « RCE via OOM corruption », autrement dit une exécution de code à distance due à une corruption mémoire lorsque la mémoire vient à manquer. Quand une allocation échoue en pleine préparation des données d’une requête, le code de nettoyage de PHP peut toucher à des données qui n’ont jamais été entièrement initialisées. Une corruption mémoire de ce type peut permettre à un attaquant d’exécuter du code au moyen de simples requêtes web.
L’avis GitHub la classe critique (Critical), avec un score CVSS 4.0 de 9,2 et le vecteur CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N : la faille est accessible par le réseau, sans authentification ni interaction de l’utilisateur, même si la complexité d’attaque est jugée élevée et que certaines conditions doivent être réunies.
Quelles versions de PHP sont touchées par la CVE-2026-109618 ?
Toutes les branches maintenues sont touchées tant qu’elles n’ont pas atteint leur version corrigée. Les anciennes branches le sont aussi : PHP a publié des correctifs sources pour 7.4, 8.0 et 8.1, mais aucune nouvelle version, et la recherche initiale indique qu’au moins une des failles PHP2Shell remonte jusqu’à PHP 5.4.
| Branche | Première version corrigée |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
| 8.1 et antérieures | Pas de nouvelle version ; correctifs officiels du code source pour 7.4, 8.0 et 8.1 |
Les distributions Linux publient leurs propres paquets corrigés, souvent sous des numéros de version qui paraissent plus anciens. Le tableau ci-dessous recense aussi des images, des panneaux de contrôle et des hébergeurs dont nous n’avons pas encore vérifié le statut :
| Éditeur | Version | Paquet | Version du paquet corrigé | Statut |
|---|---|---|---|---|
| Ubuntu | 22.04 | php8.1 | 8.1.2-1ubuntu2.28 | Corrigé |
| Ubuntu | 24.04 | php8.3 | 8.3.6-0ubuntu0.24.04.13 | Corrigé |
| Ubuntu | 26.04 | php8.5 | 8.5.4-0ubuntu1.5 | Corrigé |
| Ubuntu | 26.10 | php8.5 | 8.5.9-0ubuntu2.1 | Corrigé |
| Debian | 13 | php8.4 | 8.4.27-1~deb13u1 | Corrigé |
| Docker Official Images | — | php | — | Non vérifié |
| 宝塔 / aaPanel | — | PHP 7.4 | 7.4.34 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.0 | 8.0.27 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.1 | 8.1.35 | Corrigé |
| 宝塔 / aaPanel | — | PHP 8.2–8.5 | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 | Corrigé |
| XServer | — | PHP | — | Non vérifié |
| ConoHa WING | — | PHP | — | Non vérifié |
| ロリポップ！ | — | PHP | — | Non vérifié |
| 1Panel | — | 1panel/php | 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (-fpm) | Corrigé |
Vérifié entre le 21 octobre 2026 et le 22 octobre 2026.
Comment corriger la CVE-2026-109618 ?
Mettez à jour le PHP qui sert votre site vers la version corrigée de sa branche (ou plus récente), ou installez le paquet corrigé de votre distribution, puis redémarrez tous les processus PHP (pools PHP-FPM ou Apache). Le correctif de la CVE-2026-109618 est livré dans les mêmes versions que celui de la CVE-2026-109619 : une seule mise à jour couvre les deux failles. La marche à suivre, étape par étape : guide du correctif PHP2Shell.
Pour PHP 7.4, 8.0 et 8.1, PHP a publié des correctifs sources minimaux mais aucune nouvelle version ; les branches plus anciennes n’ont aucun correctif officiel. Voir PHP en fin de vie.
Pourquoi un manque de mémoire est-il exploitable ?
D’ordinaire, quand PHP interrompt une requête parce qu’elle a atteint la limite de mémoire, ce n’est qu’une erreur. Avec la CVE-2026-109618, un attaquant peut faire survenir cet échec au moment précis où les données internes de PHP ne sont qu’à moitié initialisées. Le nettoyage qui suit travaille alors sur des données incohérentes, et la mémoire corrompue peut être détournée pour exécuter du code. Masquer les messages d’erreur ne sert à rien : PHP précise que error_reporting, display_errors et @ n’y changent rien.
Existe-t-il un contournement pour la CVE-2026-109618 ?
Pas de contournement complet. PHP liste des mesures temporaires qui réduisent l’exposition, comme supprimer la limite de mémoire de PHP ou abaisser post_max_size, mais précise qu’elles ne rendent pas une installation sûre : un échec d’allocation sous-jacent peut toujours atteindre le code vulnérable. Détails et limites : contournement de la CVE-2026-109618.
Comment savoir si mon serveur est concerné par la CVE-2026-109618 ?
Repérez la version de PHP et la configuration qu’utilise réellement votre site, puis saisissez-les dans le vérificateur de version PHP. En ligne de commande, php -v peut afficher un autre PHP que celui du site ; le guide pour vérifier la version de PHP explique où regarder.
La CVE-2026-109618 est-elle déjà exploitée ?
Des tentatives d’attaque ont été signalées, mais aucune compromission réussie n’a été confirmée. Cloudflare a observé du trafic d’attaque PHP2Shell visant ses clients avant même la publication du correctif. Aucune des sources que nous avons consultées au 22 octobre 2026 ne confirme une prise de contrôle réussie, et nous ne publions aucun lien vers du code d’exploitation. Considérez tout PHP non corrigé exposé sur le web comme vulnérable, et mettez-le à jour.
Quelle différence entre la CVE-2026-109618 et la CVE-2026-109619 ?
La CVE-2026-109618 concerne une corruption mémoire lorsqu’une allocation échoue pendant la préparation d’une requête. La CVE-2026-109619 concerne un état résiduel laissé par une requête terminée et réutilisé par une requête suivante. Les deux sont corrigées dans les mêmes versions et forment ensemble PHP2Shell. Vue d’ensemble : faille PHP2Shell · vérificateur PHP2Shell.
Sur quelles sources s’appuie cette page ?
- Avis GitHub GHSA-w8hw-w9fx-j79w
- The PHP Group : avis de sécurité
- Wiz Research : recherche initiale
- Canonical : page CVE d’Ubuntu
- Cloudflare : protections WAF
Vérifiez votre PHP face à PHP2Shell
Saisissez la version indiquée par votre site. Nous la comparons à la première version corrigée de sa branche et vous indiquons la marche à suivre.
Vérificateur PHP2Shell →Sources
Les faits essentiels de cette page (versions corrigées, détails des CVE, paquets des distributions et alertes des agences) proviennent de sources officielles. Les travaux de recherche, articles de presse et publications de la communauté sont signalés comme tels.
- RCE via OOM corruptionOfficiel The PHP Group
- Security advisory: Critical remote code execution vulnerabilities, update nowOfficiel The PHP Group
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the InternetRecherche Wiz Research
- CVE-2026-109618Éditeur Canonical
- Cloudflare deploys protections against php2shell vulnerabilityFournisseur CDN Cloudflare