L'équipe PHP a émis une alerte urgente concernant deux failles de sécurité critiques qui menacent des millions de sites Web dans le monde. Elles sont répertoriées sous les noms de CVE-2026-109618 et CVE-2026-109619, et évaluées à 9,2 sur 10 sur l'échelle de gravité. Une source a présenté un outil d'exploitation appelé PHP2Shell permettant d'exécuter du code à distance sur des serveurs vulnérables. Face à la menace de cyberattaques massives imminentes, les administrateurs sont invités à appliquer les correctifs en urgence. Un pan d'Internet est paralysé et les administrations publiques françaises ont mis leurs sites hors ligne par mesure de précaution.Une alerte de cybersécurité majeure secoue la communauté informatique mondiale à la suite de la découverte de deux failles de sécurité critiques affectant le langage PHP. Utilisé pour propulser plus de 70% de l'ensemble des sites dans le monde, PHP est un pilier fondamental d'Internet et alimente des CMS très répandus tels que WordPress, Drupal, Joomla ou Magento, et des millions de plateformes d'hébergement et d'applications internes.
La gravité des vulnérabilités a déclenché une mobilisation globale rapide des équipes de sécurité informatique afin de protéger les infrastructures exposées. Les deux vulnérabilités identifiées par les responsables du langage PHP sont enregistrées sous les références CVE-2026-109618 et CVE-2026-109619.
Toutes deux ont reçu une note de sévérité de 9,2 sur 10 selon le système d'évaluation CVSS. Ces failles permettent à un attaquant non authentifié d'exécuter du code malveillant à distance sur un serveur vulnérable, sans nécessiter de mot de passe ni de privilèges d'accès. L'ensemble des installations de PHP traitant des requêtes Web est potentiellement concerné, avec un risque jugé particulièrement élevé pour les configurations mod_php.
Des outils de preuve de concept désignés sous le nom de PHP2Shell ont rapidement circulé sur les réseaux, démontrant des risques de prise de contrôle totale du serveur, de vol de données et de défiguration de sites Web. Face à la gravité et l'urgence de la situation, l’équipe de sécurité du langage PHP a immédiatement conseillé aux utilisateurs et aux administrateurs de se préparer à appliquer les correctifs dès dès qu'ils seront disponibles.
Envoyé par L'équipe PHP
20 octobre 2026 - Prochaine mise à jour de sécurité critique pour PHP
L'équipe de sécurité PHP souhaite vous informer à l'avance d'une prochaine mise à jour de sécurité.
Elle est prévue le mercredi 21 octobre 2026 à 14 h 00 UTC [soit 16 h 00 à Paris]. Elle corrige deux vulnérabilités critiques, toutes deux notées 9,2 selon le score CVSS v4.0. Tous les utilisateurs de PHP sont invités à se préparer dès maintenant afin de pouvoir effectuer la mise à jour dès que la version sera disponible.
Nous nous réservons le droit de publier cette version plus tôt si des détails concernant l’une ou l’autre de ces vulnérabilités venaient à être rendus publics, ou si des preuves d’une exploitation active apparaissaient dans la nature. Tous les détails, les versions concernées et les versions corrigées seront publiés lors de la sortie de cette version.
Merci de nous aider à assurer la sécurité de PHP.
Retraits préventifs de sites Web à l'échelle internationale
Un large pan d'Internet est paralysé depuis que l'alerte générale a été donnée. De nombreux administrateurs de plateformes Web, notamment sensibles, ont délibérément mis hors ligne leurs sites et applications par mesure de précaution. En France, les sites des préfectures, des impôts et de Météo-France sont notamment inaccessibles. Plusieurs sites gouvernementaux européens et américains ont également été déconnectés par précaution.
D'autres gouvernements et organisations ont également pris la décision préventive de déconnecter temporairement certains services et sites Web publics, notamment aux Pays-Bas, en Finlande, aux États-Unis, en Allemagne, ainsi que des entités telles que Nintendo et le groupe de défense de la vie privée NOYB. Une notification sur le site Web de NOYB indique qu'il est temporairement indisponible en raison d’une vulnérabilité critique de PHP.
Parallèlement, des fournisseurs d'infrastructures cloud comme Cloudflare ont déployé des règles de pare-feu applicatif pour intercepter les tentatives d'attaque visant leurs clients. L'équipe du PHP a publié son avis après la publication de détails présumés, qui n’ont pas encore été confirmés. Le rapport présentait une vidéo montrant l'outil d’exploitation baptisé PHP2Shell exécutant du code sur des serveurs Web exécutant les logiciels suivants :
- WordPress 7.1.3 ;
- MediaWiki 1.46.2 ;
- phpBB 3.3.17 ;
- Magento 2.4.9 ;
- Joomla 6.2.0 ;
- Laravel 13.36.0 ;
- Laravel 8.83.29 ;
- Symphony 8.1.9 ;
- Drupal 11.4.10 ;
- WHMCS 9.0.9.
Ces outils sont très populaires au sein de la communauté et utilisent tous PHP. Les tentatives visant à retrouver la source de cette information non confirmée se sont avérées infructueuses. De son côté, la société de sécurité watchTowr a déclaré que la source de la publication prétendait concerner toutes les versions de PHP à partir de la version 5, sortie en 2004. Elle a également ajouté avoir confirmé que les vulnérabilités sont bien réelles.
La Sansec s’attend à ce que des attaques massives commencent dans les 15 minutes suivant la publication. Une autre société de sécurité, Webfence, a également exhorté les administrateurs à se préparer dès maintenant. Le Centre australien de cybersécurité (ACSC) a également demandé aux administrateurs de surveiller activement et immédiatement les environnements système afin de détecter toute activité inhabituelle ou malveillante.
Si ces failles sont exploitées, un attaquant non authentifié pourrait prendre le contrôle du site Web ou du serveur concerné, en fonction de sa configuration et des autorisations accordées. Cette exploitation pourrait également entraîner la divulgation de bases de données d’entreprise et d’informations sur les utilisateurs. La défiguration de sites Web est également possible par le biais de modifications apportées aux fichiers ou au contenu du site.
De plus, les attaquants pourraient utiliser des outils automatisés pour identifier les serveurs vulnérables et éventuellement déployer des ransomwares. « PHP est à la base des sites WordPress, Drupal, Joomla et Magento, des plateformes d'hébergement mutualisé, des panneaux de contrôle et d'une multitude de logiciels qui ne mentionnent même pas qu'ils fonctionnent sous PHP », a souligné Huntress, un fournisseur de solutions de cybersécurité.
L'équipe PHP a publié des correctifs de sécurité en urgence
Les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les vulnérabilités CVE-2026-109618 et CVE-2026-109619. Les responsables du langage PHP exhortent les utilisateurs à effectuer la mise à jour sans délai. « Toutes les installations PHP traitant des requêtes Web sont potentiellement concernées, y compris les déploiements utilisant PHP-FPM, mod_php d’Apache, php-cgi, FrankenPHP et LiteSpeed », indique l'avis de l'équipe PHP.
Elle a ajouté : « nous considérons que le risque est le plus élevé pour mod_php, avec un exploit démontré où une requête non authentifiée peut déclencher l’attaque avant même l’exécution du code de l’application ». La résolution de ce problème représente un défi complexe pour les propriétaires de sites Web.
Jake Knott, responsable du renseignement sur les menaces au sein de la société de sécurité watchTowr, a déclaré : « comme prévu, watchTowr Intel observe déjà l’exploitation active des dernières failles de PHP, avec divers PoC construites avec l'IA qui ont déjà été détectés par nos capteurs et qui comportent divers User-Agents de type « php2shell ». Bien que personne n’ait encore réussi à ce jour, nous ne pensons pas que cela durera longtemps ».
Les équipes de sécurité auront un travail gigantesque à abattre. La mise à jour d’un plug-in WordPress ou du CMS ne suffit pas à elle seule à mettre à jour le moteur d’exécution PHP sous-jacent et ne doit pas être considérée comme une solution à ces failles. Étant donné que la vulnérabilité réside au sein même du moteur d’exécution des scripts PHP, la mise à jour de sécurité doit être appliquée au moteur d’exécution PHP utilisé par le site Web.
Selon la configuration de l’hébergement, cela peut nécessiter un accès administrateur au serveur, un panneau de contrôle d’hébergement ou une coordination avec le fournisseur d’hébergement Web. Par ailleurs, les problèmes de sécurité liés aux certificats aggravent davantage les risques pour les plateformes.
Ce problème concernerait principalement huit certificats d’autorité de certification (CA) intermédiaires...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.