PHP2Shell expliqué : les failles critiques de PHP, qui est concerné et comment protéger votre site

Le 21 octobre 2026, le projet PHP a publié en urgence des correctifs de sécurité pour deux failles critiques, désormais connues sous le nom de PHP2Shell. Elles permettent à un attaquant de prendre le contrôle d'un serveur web sans mot de passe et, dans certaines configurations, avant même que le code du site n'ait commencé à s'exécuter. Des tentatives d'exploitation ont été observées dans les heures qui ont suivi le correctif.

PHP fait fonctionner environ 75 à 80 % des sites web, dont WordPress : une très grande partie du web est donc concernée. Voici ce qui s'est passé, qui est exposé, et ce qu'il faut faire maintenant et à l'avenir.

Ce qu'est PHP2Shell

PHP2Shell regroupe deux bogues distincts situés au cœur de PHP lui-même, et non dans une extension ou un thème :

• CVE-2026-109618 se déclenche lorsque PHP manque de mémoire en pleine préparation d'une requête. Des données internes restent à moitié construites, et le code de nettoyage s'y fie malgré tout. Un envoi de formulaire surdimensionné et spécialement conçu peut suffire à le déclencher.
• CVE-2026-109619 est un bogue d'« état périmé ». Des informations appartenant à une requête survivent à la mémoire vers laquelle elles pointent, et la requête suivante traitée par le même processus PHP agit sur ces restes. Les chercheurs ont montré qu'il peut être atteint par la fonction de suivi de la progression des envois de PHP, activée par défaut et exécutée sur tout envoi de formulaire avant même que l'application ne le voie.

Les deux failles sont notées 9,2 sur 10 (critique). Chacune peut permettre à un attaquant d'exécuter son propre code avec les droits du serveur web. Il peut alors lire les bases de données et les fichiers de configuration, installer des portes dérobées, envoyer du spam ou utiliser le serveur pour en attaquer d'autres.

D'où cela vient

Les failles ont été découvertes par des chercheurs en sécurité de Calif, OpenAI et Wiz, puis signalées en privé à l'équipe de sécurité de PHP. Leur divulgation était prévue le 22 octobre. Le 20 octobre, des captures d'écran, des vidéos et des détails partiels d'un outil baptisé « PHP2Shell » ont fuité en ligne ; PHP a donc avancé sa publication d'urgence au 21 octobre à 14 h 00 UTC.

Le comportement vulnérable est ancien. Selon l'analyse d'Abstract Security, le code concerné remonte à PHP 5.4, publié en 2012 : il est donc présent depuis plus de dix ans. C'est fréquent avec les bogues graves dans les logiciels très répandus : un code qui fonctionne correctement en usage normal peut cacher un cas limite pendant des années, jusqu'à ce que quelqu'un l'examine du point de vue d'un attaquant.

Ce qui se passe actuellement

• Exploitation active : la société de sécurité watchTowr a observé des tentatives d'exploitation contre son réseau de pots de miel dès le 21 octobre, le jour même de la publication du correctif.
• Ampleur : VirusTotal estime que plus de 5,1 millions de serveurs PHP sont exposés sur Internet.
• Avertissements officiels : le National Cyber Security Centre britannique a appelé les organisations du Royaume-Uni à mettre à jour PHP immédiatement, ou à déconnecter leurs systèmes jusqu'à leur correction.
• Protections temporaires : Cloudflare a déployé des règles de pare-feu applicatif contre les méthodes d'attaque connues et a signalé avoir observé les premières attaques. L'entreprise a présenté ces règles comme temporaires, et non comme un substitut au correctif.
• Efficacité contestée : une équipe de recherche, Abstract Security, affirme avoir reproduit une attaque similaire sur un serveur entièrement à jour en détournant la même fonction de suivi des envois. Cette affirmation n'a pas été confirmée par le projet PHP, mais c'est une raison de plus d'appliquer les mesures de durcissement ci-dessous en plus de la mise à jour.

Qui est concerné

Toute installation PHP qui sert des pages web est concernée, quel que soit le mode d'exécution de PHP : PHP-FPM, Apache avec mod_php, php-cgi, LiteSpeed ou FrankenPHP. L'équipe PHP considère Apache avec mod_php comme le cas le plus à risque, car une attaque peut réussir avant même l'exécution du code de l'application.

Les versions corrigées sont :

Concrètement, cela signifie que :

• WordPress, Joomla, Drupal, Magento et la plupart des sites de petites entreprises fonctionnent avec PHP. Votre site n'est sûr que si la version de PHP qui le fait tourner l'est.
• Les clients d'hébergement mutualisé dépendent de leur hébergeur pour mettre à jour PHP. De nombreux hébergeurs appliquent les correctifs automatiquement, mais certains proposent encore d'anciennes versions de PHP qui ne reçoivent plus de correctifs.
• Les anciens serveurs et les sites oubliés représentent le plus grand risque : un site de test, une ancienne page de campagne ou une copie de préproduction sous PHP 7 ne sera corrigé par aucune mise à jour.
• Les appliances et les panneaux de contrôle intègrent parfois leur propre copie de PHP, que vos mises à jour habituelles ne touchent pas.

Ce qu'il faut faire tout de suite

1. Recensez tous les endroits où PHP s'exécute. Sites web, copies de préproduction, panneaux de contrôle, outils internes et appliances. Commencez par tout ce qui est accessible depuis Internet.
2. Passez à une version corrigée du tableau ci-dessus, ou installez les paquets corrigés de votre distribution Linux, qui ont souvent été publiés avant l'annonce publique.
3. Redémarrez tous les processus PHP après la mise à jour. Les processus de longue durée conservent le code vulnérable en mémoire jusqu'à leur redémarrage.
4. Si vous êtes en hébergement mutualisé, vérifiez votre version de PHP dans le panneau de contrôle de votre hébergement. Passez à une version prise en charge (8.2 ou plus récente) et demandez à votre hébergeur de confirmer par écrit que les correctifs PHP2Shell sont appliqués.
5. Si vous ne pouvez pas mettre à jour aujourd'hui, restreignez l'accès au serveur, désactivez session.upload_progress.enabled dans vos paramètres PHP puis redémarrez, et limitez la taille maximale des envois au strict nécessaire pour votre site. L'équipe PHP est claire : aucun réglage ne vous protège complètement, considérez donc ces mesures comme provisoires.
6. Recherchez des signes de compromission à partir du 20 octobre, et pas seulement à partir du jour où vous avez appliqué le correctif. Les signaux d'alerte comprennent des erreurs PHP mentionnant « tried to allocate » avec « in Unknown on line 0 », des rafales d'envois de formulaires très volumineux, des fichiers PHP inconnus dans les dossiers de votre site, de nouveaux comptes administrateurs, des tâches cron ou des clés SSH modifiées, et des connexions sortantes inattendues depuis le serveur web.

Comment vous prémunir contre la prochaine faille

PHP2Shell ne sera pas la dernière faille critique dans les logiciels qui font fonctionner le web. Ces habitudes limitent les dégâts la prochaine fois :

• Restez sur des versions prises en charge. Un logiciel arrivé en fin de vie ne reçoit plus aucun correctif. Planifiez les mises à niveau avant la fin du support.
• Choisissez un hébergement qui applique vite les correctifs, et demandez combien de temps les mises à jour critiques de PHP mettent généralement à atteindre votre compte.
• Placez un pare-feu applicatif web devant votre site. Des services comme Cloudflare et d'autres CDN peuvent déployer des correctifs virtuels en quelques heures, ce qui vous laisse le temps de mettre à jour.
• Supprimez ce que vous n'utilisez pas. Anciens sites, extensions inutilisées et fonctions d'envoi de fichiers superflues sont autant de portes supplémentaires.
• Limitez l'étendue des dégâts. Faites tourner chaque site sous son propre compte, limitez les utilisateurs de base de données aux droits dont ils ont besoin et stockez les secrets en dehors du dossier du site.
• Surveillez et sauvegardez. La surveillance des modifications de fichiers, des journaux conservés hors du serveur et des sauvegardes hors ligne testées transforment une catastrophe en simple désagrément.
• Ayez un plan. Décidez à l'avance qui suit les avis de sécurité, qui applique les mises à jour d'urgence et qui appeler si quelque chose a déjà mal tourné.

Besoin d'aide ?

Si vous ne savez pas quelle version de PHP font tourner vos sites, ou si vous souhaitez une vérification indépendante des signes de compromission, notre équipe peut vous aider. Nous pouvons évaluer votre exposition, vérifier que les correctifs sont en place et enquêter sur toute activité suspecte selon les normes de la criminalistique. Contactez-nous, ou appelez notre ligne 24/7 au +44 7520 644325.

Sources

• BleepingComputer : PHP publie des correctifs d'urgence pour les failles critiques PHP2Shell (en anglais)
• watchTowr : FAQ PHP2Shell (en anglais)
• Abstract Security : analyse de PHP2Shell (en anglais)
• Help Net Security : PHP2Shell, les vulnérabilités critiques de PHP corrigées (en anglais)