La vulnérabilité PHP2Shell permet l'exécution de code à distance sur des millions de sites. La PHP Foundation a publié des correctifs d'urgence, mais les mises à jour restent un défi. Le correctif a été publié le 21 octobre 2026.
La vulnérabilité PHP2Shell permet l'exécution de code à distance sur des serveurs PHP, touchant les versions 8.2 à 8.5 qui n'avaient pas reçu de correctifs au 30 octobre 2026. La PHP Foundation a publié des correctifs d'urgence pour corriger deux vulnérabilités critiques : CVE-2026-109618 et CVE-2026-109619. Les correctifs sont disponibles dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP. Des pirates exploitent déjà les failles, ce qui a poussé certaines grandes entreprises à mettre temporairement leurs sites hors ligne. La France figure parmi les pays les plus touchés, avec 2 millions de services non mis à jour. La CISA a ajouté les vulnérabilités à son catalogue KEV, appelant à des mises à jour urgentes.
La vulnérabilité a été signalée en 2024 et exploitée par une équipe en Californie avec l'aide de l'IA. La mise à jour dépend de la version de PHP et de la disponibilité des correctifs au Brésil, qui n'a pas été confirmée. L'information a été révélée par des sources telles que Failles PHP, la PHP Foundation et la CISA.
PHP critiqué pour sa lenteur à corriger les failles
La vulnérabilité PHP2Shell est apparue dans un contexte de tension croissante autour de la sécurité des serveurs web. L'entreprise a averti que le correctif exigeait une combinaison spécifique de configurations et de code applicatif, ce qui a compliqué un déploiement rapide. Selon Failles PHP, 29,6 millions de services PHP étaient encore exposés le 30 octobre, même après la publication des correctifs. La situation reflète un défi mondial : même une fois les correctifs divulgués, de nombreux serveurs restent sans mise à jour. La CISA a également alerté sur le risque, soulignant la nécessité d'actions urgentes.
La vulnérabilité n'était pas une découverte isolée : PHP avait déjà été alerté d'une troisième faille, mais n'avait pas donné la priorité à sa correction, ce qui a suscité des critiques. La lenteur de la réponse de PHP met en évidence la complexité de sécuriser des systèmes open source à grande échelle. La vulnérabilité a été identifiée en 2024 et exploitée par une équipe de Calif avec l'aide de l'IA, touchant des millions de sites dans le monde.
Avec des informations de wired.com, next.ink et techradar.com.
Sources
- This is not a drill 2 php vulnerabilities are setting the internet on firewired.com
- Failles php2shell on a scanne tout le fr 250 000 sites affichent un php vulnerablenext.ink
- Php releases emergency fixes as some of the worlds biggest websites say they were targeted by hackerstechradar.com
- Failles php onze jours apres pres de 30 millions de sites et services web toujours vulnerables01net.com
- Ai in cybersecurity php2shell vulnerabilityspectrum.ieee.org
Texte rédigé avec l'IA à partir des sources citées et vérifié par les règles automatiques de la rédaction. Notre méthode
Envie de voir resumer en premier dans les recherches Google ?
Ajouter aux sources préférées de Google
