Vulnérabilité PHP2Shell : de quoi s’agit-il, qui est touché et quelle gravité ?

Quelles sont les deux vulnérabilités PHP2Shell ?

Ce sont deux bugs de sécurité mémoire de PHP lui-même, corrigés dans les mêmes versions.

Chacune a sa propre page : CVE-2026-109618 et CVE-2026-109619.

Qui est concerné par la vulnérabilité PHP2Shell ?

Toute installation de PHP qui traite des requêtes web avec une version non corrigée. L’avis de PHP cite PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, et juge le risque le plus élevé pour mod_php, où un exploit démontré s’exécute avant tout code applicatif. Selon la recherche d’origine, au moins l’une des failles remonte à PHP 5.4.

PHP 8.1 et les versions antérieures ne reçoivent plus de nouvelles versions ; PHP a publié des correctifs minimaux du code source pour 7.4, 8.0 et 8.1 uniquement. Les versions corrigées sont :

Quelle est la gravité de PHP2Shell ?

Critique. Une exécution de code à distance signifie qu’un attaquant pourrait lancer des commandes avec les droits de votre serveur web : modifier ou déposer des fichiers, lire la configuration (comme les mots de passe de la base de données) et installer une porte dérobée qui survit à la mise à jour. La recherche décrit aussi un moyen de faire fuiter la mémoire du processus. Qu’un serveur donné soit attaquable dépend toutefois de sa version de PHP, de sa configuration, de l’agencement de sa mémoire et de l’application.

Quels gouvernements ont lancé une alerte sur PHP2Shell ?

Des agences nationales de cybersécurité d’Asie, d’Europe et d’Amérique du Nord ont alerté sur la vulnérabilité PHP2Shell. La plupart demandent aux organisations de mettre à jour immédiatement ; plusieurs conseillent de mettre les services hors ligne ou de les isoler s’ils ne peuvent pas être corrigés, et certaines rappellent que PHP est aussi embarqué dans des produits et des appareils. En France, le CERT-FR (ANSSI) a publié l’alerte CERTFR-2026-ALE-014 ; il précise que les contournements temporaires ne sont pas validés de son côté.

Pourquoi tant de sites sont-ils hors ligne à cause de PHP2Shell ?

Surtout par précaution. Les gouvernements ont demandé aux organisations de mettre hors ligne les systèmes PHP impossibles à corriger tout de suite, et beaucoup l’ont fait. Reuters a rapporté le 21 octobre 2026 que les organisations suivantes avaient coupé des sites ou des services :

• Allemagne : le prestataire informatique fédéral ITZBund, qui a parlé d’une mesure « purement préventive ».
• France : des sites de préfectures, dans l’attente du correctif.
• Belgique : les sites du ministère des Affaires étrangères.
• Pays-Bas : le port de Rotterdam, Overheid.nl, les cinq principaux partis politiques et de nombreux hôpitaux, à l’exemple du National Cyber Security Centre.
• Finlande : les services web de l’État gérés par Valtori, « par mesure de précaution ».
• République tchèque : le site du gouvernement, sur les conseils de son autorité de cybersécurité.
• Wikimedia Foundation : certains systèmes, « jusqu’à ce qu’ils puissent être corrigés en toute sécurité ».

Au Japon, des hébergeurs comme Xserver et Lolipop ont aussi suspendu leurs panneaux de contrôle par précaution. Un site hors ligne ou en maintenance n’a pas forcément été piraté.

Combien de serveurs sont exposés à PHP2Shell ?

Les estimations varient, car chaque outil d’analyse compte quelque chose de différent. Palo Alto Networks Unit 42 a fait état de plus de 22,6 millions d’instances exposées « potentiellement vulnérables », d’après sa propre télémétrie, sans définir ce qu’est une instance. Un serveur qui affiche un ancien numéro de PHP peut déjà bénéficier d’un rétroportage de l’éditeur, et un serveur peut héberger de nombreux sites : prenez donc tout chiffre isolé comme un ordre de grandeur, pas comme un décompte de sites piratables.

La vulnérabilité PHP2Shell est-elle exploitée ?

Des tentatives d’attaque ont été observées, mais aucune compromission réussie n’a été confirmée. Cloudflare a signalé du trafic d’attaque contre ses clients et des attaquants qui modifiaient leurs charges pour contourner ses règles, avant même la sortie du correctif. Aucune des sources que nous avons vérifiées au 22 octobre 2026 ne confirme une prise de contrôle réussie via PHP2Shell, ce qui ne veut pas dire que personne ne l’exploite. La CISA et le Centre canadien pour la cybersécurité ont tous deux indiqué n’avoir observé aucune exploitation au moment de leur publication. Sansec s’attend à une exploitation massive maintenant que le correctif et les analyses techniques sont publics.

Des dépôts prétendant contenir des exploits fonctionnels sont aussi apparus. Nous ne les avons pas vérifiés et n’y renvoyons pas. Ne téléchargez ni n’exécutez leur code.

PHP2Shell touche-t-il tous les sites PHP de la même façon ?

Non. « Au moins une faille depuis PHP 5.4 » décrit l’endroit où le code vulnérable existe, pas la preuve qu’une même attaque fonctionne contre tous les sites. Les scores CVSS des deux failles jugent la complexité d’attaque élevée et indiquent que certaines conditions doivent être réunies, et PHP juge mod_php le plus à risque. À l’inverse, Sansec rapporte que des chercheurs ont confirmé l’exécution de code contre des applications populaires et que les configurations par défaut sont vulnérables. L’hypothèse prudente : un PHP non corrigé exposé au web est vulnérable.

PHP2Shell, est-ce la même chose que wp2shell ?

Non. wp2shell est le nom d’une autre vulnérabilité critique, dans le cœur de WordPress, corrigée en mettant WordPress à jour. PHP2Shell se trouve dans PHP lui-même et se corrige en mettant PHP à jour. Les moteurs de recherche confondent parfois les deux noms : vérifiez les numéros CVE quand vous lisez un conseil.

PHP2Shell touche-t-il Node.js, Java ou d’autres langages ?

Non. PHP2Shell est une faille du moteur PHP : elle ne concerne que les serveurs qui exécutent PHP. Un site construit avec Node.js, Java, Python ou un autre langage, sans PHP, n’est pas touché par ces deux CVE. Les autres environnements publient leurs propres correctifs de sécurité : tenez-les à jour en suivant leurs propres avis, et n’oubliez pas qu’un même serveur peut faire tourner plusieurs langages.

Pourquoi l’appelle-t-on PHP2Shell ?

PHP2Shell est le nom utilisé dans l’analyse d’origine de Wiz Research. Il décrit le pire scénario : une requête vers un site PHP pourrait aboutir à ce qu’un attaquant exécute des commandes (un shell) sur le serveur. Les titres officiels des avis sont « RCE via OOM corruption » et « RCE via stale global state ».

Que faire maintenant ?

1. Vérifiez votre PHP avec le vérificateur PHP2Shell.
2. Mettez à jour en suivant le guide du correctif PHP2Shell.
3. Si vous avez mis à jour tardivement, consultez le guide vérifier si votre site a été piraté.

Quelles sources appuient cette page ?

• The PHP Group : RCE via OOM corruption
• The PHP Group : RCE via stale global state
• The PHP Group : avis de sécurité
• Wiz Research : recherche d’origine
• Cloudflare : protections WAF
• Sansec : recherche sur PHP2Shell
• Rapid7 : wp2shell, une vulnérabilité distincte du cœur de WordPress