PHP2Shell: Vulnérabilités PHP critiques CVE-2026-109618 et CVE-2026-109619
Ce texte a été généré par l'intelligence artificielle (IA).Date : 21 octobre 2026, 12h30 CEST - avant la sortie de sécurité PHP, complété par l’avertissement du BSI. La situation des données est mince : les versions affectées, les versions corrigées et les détails techniques ne seront publiés par le projet PHP qu'avec la sortie. Beaucoup d'informations en circulation proviennent d'une fuite et ne sont pas confirmées. Nous mettrons à jour cet article dès que les informations officielles seront disponibles.
L'équipe de sécurité PHP a annoncé un 21 octobre 2026 à 14:00 UTC (16:00 CEST) une publication de sécurité d'urgence. Elle corrige deux vulnérabilités critiques, toutes deux évaluées à CVSS 9.2 selon CVSS v4.0 CERT-EU les classe comme CVE-2026-109618 et CVE-2026-109619 et les évalue comme une possible exécution de code à distance non authentifiée. Auparavant, des informations sur les vulnérabilités encore sous embargo étaient devenues publiques le 20 octobre 2026.
Le BSI a publié un avis de sécurité informatique le 21 octobre 2026 avec la Criticité 3 / Orange Cela signifie selon l’échelle du BSI : des mesures doivent être prises sans délai, une perturbation massive du fonctionnement normal est possible.
Il n'y a pour l'instant que ce que le projet PHP a lui-même annoncé : deux vulnérabilités critiques, toutes deux avec un CVSS v4.0 de 9.2, une date de publication le 21 octobre 2026 à 14:00 UTC. L'équipe PHP se réserve le droit de publier plus tôt si des détails deviennent publics ou si des attaques surviennent. Les versions affectées, les corrections et les détails techniques ne devraient être publiés qu'avec la sortie.
Selon Huntress, l'entreprise de sécurité watchTowr a confirmé que les vulnérabilités divulguées sont réelles, et a reproduit CVE-2026-109618. Avec la fuite, selon Sansec, a émergé une capture d'écran d'un outil d'exploit nommé PHP2Shell se présente. Son bannière prétend que l’outil fonctionne contre chaque version de PHP à partir de 5.4.0. CERT-EU affirme que les failles „pourraient“ toucher toutes les versions de PHP à partir de PHP 5 ; le BSI adopte cette évaluation. Aucune confirmation de la part du projet PHP n'est encore disponible.
La cause des vulnérabilités n'a pas été publiée. Les spéculations circulant sur le net concernant le composant PHP affecté ne sont pas confirmées.
Quelle est l'ampleur du risque
PHP est utilisé sur une grande partie des serveurs web : sous WordPress, Drupal, TYPO3, Joomla, Magento, Shopware, WooCommerce et Nextcloud, ainsi que sur des plateformes d’hébergement partagé et dans des panneaux de contrôle. Le BSI souligne également que PHP est présent dans des composants de produits propriétaires et dans des distributions de pare-feu comme pfSense et OPNsense. Selon Sansec, les failles se trouvent dans PHP lui-même et doivent être corrigées au niveau de l'infrastructure serveur ; des modifications dans le code applicatif ne suffisent pas.
Le BSI juge improbable une large exploitation dans les heures suivant la publication des correctifs, car les correctifs peuvent être rapidement analysés et traduits en exploits à l'aide d'outils basés sur l'IA. Sansec s'attend à des attaques massives dans les 15 minutes suivant la publication. Aucune attaque confirmée n'a été observée jusqu'à présent selon le BSI ; Huntress n’a également observé aucune exploitation jusqu'au 20 octobre 2026.
Que faire maintenant
CERT-EU recommande d’identifier les applications basées sur PHP et de préparer la mise à jour pour qu'elle puisse être appliquée immédiatement après sa publication. Là où cela n'est pas possible immédiatement, les applications exposées à Internet devraient être isolées du réseau public jusqu'au correctif.
Inventorier les installations PHP, y compris sur les anciens sous-domaines et systèmes secondaires.
Prévoir une fenêtre de mise à jour pour le 21 octobre à partir de 16h00 CEST et préparer des capacités humaines pour cela, comme le recommande le BSI.
Après la mise à jour, vérifier l'état du correctif avec php -v par rapport à l'avis PHP. Ceux qui obtiennent PHP via le gestionnaire de paquets de la distribution Linux doivent le comparer à la version backport de la distribution (avis chez Ubuntu, Debian et Red Hat).
Ne pas oublier PHP dans les conteneurs Docker : les images doivent être mises à jour ou reconstruites. Pour les appareils avec PHP intégré, des versions de firmware mises à jour des fabricants sont nécessaires.
Contacter le fournisseur d'hébergement si vous ne gérez pas vous-même le serveur web, et demander une application rapide de la mise à jour.
Considérer séparément les systèmes avec PHP 8.1 ou antérieur : selon le BSI, toutes les versions avant 8.2 ont atteint leur fin de vie, PHP 8.2 ne reçoit plus que des mises à jour de sécurité jusqu'à la fin de l'année. Les systèmes concernés devraient être migrés vers une version prise en charge.
Des solutions de contournement fiables ne sont actuellement pas connues selon le BSI. Un pare-feu d'application web peut seulement protéger s'il a des règles de détection appropriées pour ces failles. Lorsqu'un correctif ne peut pas être appliqué rapidement, le BSI recommande de temporairement déconnecter le serveur web d'Internet.
Contexte DACH et européen
Pour les organismes relevant du champ d’application de la NIS-2 : si une exploitation de ces failles conduit à un incident de sécurité grave, les obligations de déclaration s'appliquent conformément à l'article 23 de la directive NIS-2, en Allemagne selon le § 32 BSIG. En Autriche et en Suisse, les obligations de déclaration nationales respectives s'appliquent. Le BSI a publié un avis de sécurité informatique (BITS-H 2026-297981-1032) sur ces failles avec une criticité orange ; celui-ci est librement partageable en tant que TLP:CLEAR.
Identifier les systèmes PHP exposés
Lorsqu'il s'agit d'une éventuelle exécution de code à distance sans connexion, il est important de déterminer quels systèmes sont accessibles de l'extérieur. Il faut vérifier les serveurs web, les sous-domaines et d'autres services sous les domaines propres où PHP fonctionne. Les anciens systèmes oubliés et les environnements web séparés peuvent facilement être négligés lors d'une opération de correctif à court terme.
Comment LocateRisk s'attaque aux actifs exposés
LocateRisk soutient la gestion de la surface d'attaque externe par la visibilité des systèmes accessibles de l'extérieur et des logiciels utilisés. Dans ce cas, cela peut aider à identifier les serveurs web accessibles au public et les installations PHP dans l'inventaire des actifs et à prioriser l'ordre de mise à jour.
LocateRisk ne remplace pas la gestion des correctifs et ne fait aucune déclaration sur la présence d'une version PHP vulnérable sur un système détecté. Pour cela, il est nécessaire de comparer la version utilisée avec les données du projet PHP, une fois celles-ci disponibles.
Pour les applications web externalisées ou les portails clients, la gestion des risques fournisseurs peut aider à documenter de manière compréhensible les retours des prestataires concernant l'état des correctifs.
Suis-je concerné ?
Quelles versions de PHP sont concernées et quelles versions incluent la correction sont publiées par le projet PHP avec le release. Ceux qui veulent savoir si PHP est visible dans leur infrastructure accessible de l'extérieur peuvent le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
Ce n'est pas encore officiellement connu. Le projet PHP publiera les versions concernées avec la version du 21 octobre 2026. Selon l'outil d'exploitation divulgué, toutes les versions à partir de PHP 5.4 sont concernées ; CERT-EU considère possible que toutes les versions à partir de PHP 5 soient touchées.
Pas encore. La version de sécurité est prévue pour le 21 octobre 2026 à 14h00 UTC (16h00 CEST). Les numéros de version corrigés ne seront confirmés qu'à ce moment-là.
PHP2Shell est le nom d'un outil d'exploitation, dont une capture d'écran est apparue avec la fuite du 20 octobre 2026. Son annonce prétend qu'il fonctionne contre toute version de PHP à partir de 5.4.0. Cela n'est pas confirmé de manière indépendante.
CERT-EU et BSI recommandent d'identifier les applications basées sur PHP, de préparer la mise à jour et de déconnecter les applications exposées à Internet du réseau public jusqu'à ce que le correctif soit appliqué, là où une mise à jour immédiate n'est pas possible. Selon le BSI, des solutions de contournement fiables ne sont actuellement pas connues.
Stand: 21.10.2026. Cet article est à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action pour un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; le lien vers l'avis du fabricant est toujours déterminant. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-109618
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English