Deux vulnérabilités critiques d'exécution de code à distance (RCE) affectant le moteur d'exécution PHP ont été publiées sous les identifiants CVE-2026-109618 et CVE-2026-109619. Ces failles représentent la composante RCE d'un ensemble plus large de vulnérabilités du cœur de PHP nommé PHP2Shell par l'entreprise de sécurité cloud Wiz. Selon Wiz, PHP2Shell regroupe plusieurs failles critiques — allant de fuites de mémoire de type Heartbleed à l'exécution de code à distance non authentifiée — touchant chaque version de PHP publiée au cours de la dernière décennie depuis PHP 5.4, et menaçant des serveurs hébergeant 70 % des sites web mondiaux. Les administrateurs système doivent vérifier et mettre à niveau leurs processus web sans délai, tandis que les utilisateurs d'Internet sont invités à suivre des consignes de sécurité élémentaires.

Ce document présente l'analyse détaillée des mécanismes de corruption de la mémoire, récapitule les correctifs publiés pour les branches PHP et détaille les mesures concrètes pour les particuliers et les gestionnaires de serveurs.

Déroulement technique : le duo de vulnérabilités php2shell

Selon l'avis de sécurité publié par la National Vulnerability Database (NVD) le 21 octobre 2026, ces deux failles majeures se situent dans le gestionnaire d'allocation mémoire et le cycle d'exécution des requêtes du moteur interne Zend Engine.

Lorsqu'une anomalie d'exécution ou un manque de mémoire (OOM) survient pendant le traitement d'une requête web, PHP recourt à l'instruction longjmp pour interrompre immédiatement le contexte actif et dérouler la pile. Sur les versions non corrigées, cette interruption brutale désorganise les structures internes de gestion de la mémoire, engendrant deux modes de défaillance :

  1. Réutilisation de mémoire non initialisée (CVE-2026-109618) : Lorsqu'une allocation échoue en cours de traitement, les blocs de mémoire réservés aux variables de requête restent non initialisés. Lors de la phase ultérieure de libération par le processus worker, la lecture de ces zones entraîne une corruption du tas permettant l'exécution de code.
  2. Référence à un état global obsolète (CVE-2026-109619) : Les pointeurs d'état global qui référencent temporairement des allocations de mémoire par requête ne sont pas nettoyés en cas de sortie anormale. Lorsqu'un même processus worker traite la requête suivante, il manipule de la mémoire déjà libérée, ce qui permet à un attaquant de détourner le flux d'exécution.

Comme les processus PHP persistants (par exemple avec PHP-FPM ou des conteneurs applicatifs) gèrent de nombreuses requêtes consécutives avant redémarrage, un attaquant externe peut forcer l'épuisement de la mémoire à l'aide de requêtes HTTP forgées et obtenir l'exécution de commandes sur le système hôte sans authentification.

Versions PHP affectées et correctifs officiels

L'équipe officielle de développement de PHP a publié les versions de maintenance correctives le 22 octobre 2026. Chaque organisation doit vérifier son parc de serveurs selon la grille ci-dessous :

Branche Versions vulnérables Version corrective Statut de support
PHP 8.5 8.5.0 à 8.5.11 8.5.12 Support actif (Active support)
PHP 8.4 8.4.0 à 8.4.26 8.4.27 Support actif (Active support)
PHP 8.3 8.3.0 à 8.3.35 8.3.36 Correctifs de sécurité uniquement
PHP 8.2 8.2.0 à 8.2.34 8.2.35 Sécurité uniquement (fin le 31/12/2026)
PHP 8.1 et antérieures Toutes versions Aucun Fin de vie (End of Life)

D'après la documentation officielle de PHP, les branches en support actif (PHP 8.4 et PHP 8.5) reçoivent des corrections de bugs régulières ainsi que des correctifs de sécurité. Les branches restreintes à la sécurité (PHP 8.2 et PHP 8.3) reçoivent uniquement les correctifs d'urgence. La branche PHP 8.2 atteindra sa fin de vie définitive le 31 décembre 2026.

Les installations exploitant PHP 8.1 ou une version plus ancienne demeurent vulnérables de manière permanente, ces versions n'étant plus maintenues. Une mise à niveau vers une branche supportée est indispensable.

Ce que cela implique pour vous

Selon Wiz, PHP propulse environ 70 % des sites web dans le monde, qu'il s'agisse de plateformes de publication de contenu, de boutiques de commerce électronique ou d'espaces clients. Même si vous n'administrez pas de serveurs, vos services en ligne du quotidien reposent souvent sur cette infrastructure.

Les visiteurs individuels ne peuvent pas intervenir directement sur les serveurs distants, mais il est recommandé d'appliquer les règles suivantes :

  • Prenez au sérieux les avis de sécurité : Si un service web vous informe d'un incident de sécurité ou d'une intrusion, modifiez votre mot de passe sur cette plateforme sans attendre.
  • Ne réutilisez jamais vos mots de passe : L'utilisation d'un même identifiant sur plusieurs services présente un risque majeur en cas de fuite de données. Les cybercriminels réutilisent automatiquement les identifiants dérobés sur les messageries et les services bancaires. Adoptez des mots de passe uniques et robustes.
  • Activez l'authentification à deux facteurs (2FA) : Déployez la double validation sur tous vos comptes, en favorisant une application d'authentification ou une clé matérielle plutôt que les messages SMS.
  • Méfiez-vous des alertes de mise à jour trompeuses : Après compromission d'un serveur, des attaquants peuvent injecter de fausses alertes sur les pages visitées incitant à télécharger une prétendue mise à jour de navigateur. Ne téléchargez aucun composant depuis des fenêtres surgissantes ; passez toujours par les paramètres officiels de votre système ou de votre navigateur.
  • Protégez vos échanges réseau : Sur un réseau Wi-Fi public, un VPN chiffre le trafic entre votre appareil et le serveur VPN afin que les autres usagers du réseau ne puissent pas l'intercepter. Télécharger VPNRice.

Guide d'intervention pour les administrateurs de serveurs

Pour sécuriser vos serveurs web et environnements d'hébergement, appliquez ces recommandations :

1. Mettre à niveau les paquets et vérifier les avis de sécurité des distributions

Si vous utilisez les dépôts officiels de distributions Linux (comme Debian ou Ubuntu), les mainteneurs rétroportent (backport) les correctifs de sécurité directement dans les paquets stables sans incrémenter le numéro de version amont (par exemple, le numéro de version de base peut rester affiché en 8.2.26 ou 8.4.15 même une fois corrigé).

Commencez par mettre à jour l'index des dépôts et appliquez les mises à jour des paquets PHP en cours d'utilisation (les noms de paquets ci-dessous sont indicatifs et dépendent de la version fournie par votre distribution) :

sudo apt-get update
sudo apt-get --only-upgrade install php8.4-fpm php8.4-cli php8.4-common

Vérifiez ensuite la version de paquet installée par rapport aux avis de sécurité officiels de votre distribution (tels que Debian Security Advisory DSA ou Ubuntu Security Notice USN) :

apt-cache policy php8.4-fpm

Consultez le journal des modifications pour vous assurer de la prise en compte des correctifs :

apt-get changelog php8.4-fpm | head -n 20

C'est uniquement lorsque vous compilez directement depuis les sources officielles php.net, que vous recourez au dépôt PPA d'Ondřej Surý ou que vous utilisez les images Docker officielles que la commande php -v affichera directement les numéros de version 8.2.35, 8.3.36, 8.4.27 ou 8.5.12.

2. Reconstruire les images de conteneurs

La mise à jour de l'hôte n'affecte pas les conteneurs isolés. Dans vos configurations Docker, ajustez l'image de base :

FROM php:8.4.27-fpm-alpine

Reconstruisez les images avec l'option d'invalidation du cache :

docker build --no-cache -t web-app:latest .

3. Renforcer la sécurité périphérique

Avant la finalisation des déploiements, configurez un pare-feu applicatif ou un mandataire inverse pour filtrer les flux HTTP entrants. Limitez la taille des en-têtes, encadrez les téléversements en plusieurs parties et bloquez les requêtes anormales avant transmission aux processus applicatifs.

L'application rapide des correctifs et le contrôle rigoureux des accès constituent la protection la plus solide face aux vulnérabilités d'infrastructure.