CVE-2026-109619 : exécution de code à distance dans PHP par un état global résiduel

Qu’est-ce que la CVE-2026-109619 ?

La CVE-2026-109619 est la seconde vulnérabilité PHP2Shell ; son intitulé officiel chez PHP est « RCE via stale global state », soit une exécution de code à distance due à un état global résiduel. Les processus PHP (workers) traitent de nombreuses requêtes à la suite. Quand une requête se termine, sa mémoire est libérée, mais une partie de l’état global pouvait continuer à pointer vers elle. Une requête ultérieure qui utilise cette référence obsolète accède à de la mémoire libérée, ce qu’un attaquant peut transformer en exécution de code.

L’avis GitHub la classe critique (Critical), avec un score CVSS 4.0 de 9,2 et le vecteur CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N : la faille est accessible par le réseau, sans authentification ni interaction de l’utilisateur, même si la complexité d’attaque est jugée élevée et que certaines conditions doivent être réunies.

Quelles versions de PHP sont touchées par la CVE-2026-109619 ?

Toutes les branches maintenues sont touchées tant qu’elles n’ont pas atteint leur version corrigée, de même que les branches en fin de vie. PHP 8.1 et les versions antérieures ne reçoivent plus de nouvelles versions ; PHP n’a publié des correctifs sources minimaux que pour 7.4, 8.0 et 8.1 (voir PHP en fin de vie).

Les paquets des distributions portent leurs propres numéros de version corrigée. Le tableau ci-dessous recense aussi des images, des panneaux de contrôle et des hébergeurs dont nous n’avons pas encore vérifié le statut :

Comment corriger la CVE-2026-109619 ?

Mettez à jour PHP vers la version corrigée de votre branche, ou vers le paquet corrigé de votre distribution, puis redémarrez tous les processus PHP pour qu’aucun ne garde l’ancien code en mémoire. L’avis GitHub est clair : la mise à jour vers une version qui contient le correctif complet de réinitialisation de l’état est la seule mesure fiable. Le guide du correctif PHP2Shell détaille chaque configuration.

Peut-on atténuer la CVE-2026-109619 sans mettre à jour ?

En partie seulement. PHP indique deux réglages d’administration, chacun suivi d’un redémarrage de tous les processus PHP :

• session.upload_progress.enabled=0, défini dans php.ini, dans le pool FPM ou dans la configuration du serveur (pas avec ini_set() ni dans un .user.ini FPM). Il bloque les chemins d’attaque confirmés passant par les sessions, mais pas d’autres variantes.
• Sur PHP 8.5 uniquement, fatal_error_backtraces=0. Il bloque seulement le chemin confirmé passant par les traces d’erreurs fatales.

PHP précise qu’il n’existe aucune mesure de configuration générique et complète. La page contournement de la CVE-2026-109618 présente toutes les mesures temporaires et leurs effets de bord.

Pourquoi les processus PHP comptent-ils pour la CVE-2026-109619 ?

La faille touche les processus PHP de longue durée, qui enchaînent les requêtes les unes après les autres. C’est pourquoi la mise à jour comme les mesures temporaires exigent de redémarrer tous les processus : pools PHP-FPM, Apache avec mod_php ou processus PHP de votre serveur. Un processus qui continue de tourner après la mise à jour garde l’ancien code en mémoire. En hébergement mutualisé, c’est votre hébergeur qui s’occupe du redémarrage ; demandez-lui de le confirmer.

Quelles configurations sont exposées à la CVE-2026-109619 ?

L’avis de PHP couvre toutes les installations PHP qui répondent à des requêtes web, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, et considère mod_php comme la configuration la plus à risque. Utiliser Nginx ou PHP-FPM ne vous en exempte pas. Un usage en ligne de commande uniquement n’est pas visé par l’alerte, mais mettez quand même le binaire à jour.

Une extension de mode maintenance bloque-t-elle la CVE-2026-109619 ?

Ne comptez pas dessus. Une page de maintenance WordPress passe toujours par le traitement des requêtes de PHP, et certains chemins d’attaque interviennent avant l’exécution du code de l’application. Si vous ne pouvez pas mettre à jour, bloquez le trafic avant PHP (au niveau du serveur web ou de l’hébergement) ou mettez le site hors ligne.

La CVE-2026-109619 est-elle déjà exploitée ?

Des tentatives d’attaque ont été signalées, mais aucune compromission réussie n’a été confirmée. Cloudflare a observé du trafic d’attaque PHP2Shell visant ses clients avant la publication du correctif. Aucune des sources que nous avons consultées au 22 octobre 2026 ne confirme une prise de contrôle réussie. Considérez tout PHP non corrigé exposé sur le web comme vulnérable, et mettez-le à jour.

Comment vérifier si mon site est concerné par la CVE-2026-109619 ?

Saisissez la version de PHP et la configuration de votre site dans le vérificateur de version PHP, ou consultez la présentation du vérificateur PHP2Shell. La faille jumelle est la CVE-2026-109618.

Sur quelles sources s’appuie cette page ?

• Avis GitHub GHSA-6wmf-4rv5-p3rp
• The PHP Group : avis de sécurité
• Wiz Research : recherche initiale
• Canonical : page CVE d’Ubuntu
• Cloudflare : protections WAF