PHP2Shell et les failles critiques de la semaine : comment corriger vos serveurs (octobre 2026)

Cette semaine a été marquée par l'un des incidents de sécurité PHP les plus graves depuis des années. Le 21 octobre 2026, le projet PHP a publié des versions d'urgence corrigeant deux failles critiques d'exécution de code à distance, surnommées PHP2Shell, après une fuite des détails un jour plus tôt et des premières tentatives d'attaque en quelques heures. Dans le même temps, le Patch Tuesday record de Microsoft en octobre et une vague de nouvelles entrées au catalogue KEV de la CISA ont alourdi la charge des équipes IT.

Ce guide résume ce qui s'est passé, les systèmes concernés et la marche à suivre pour corriger ou atténuer le risque, afin de prioriser vos 24 à 72 prochaines heures.

Points clés

• Mettez PHP à jour maintenant : les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Selon PHP, la mise à jour est la seule correction complète.
• Risque le plus élevé : Apache mod_php, où l'exploit peut se déclencher avant l'exécution de votre code applicatif. PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont aussi exposés dans certaines conditions.
• Tentatives d'exploitation en cours : Cloudflare et watchTowr ont signalé des tentatives actives le 21 octobre.
• Les anciennes versions (8.1, 8.0, 7.4) n'ont pas de correctif officiel : utilisez une build corrigée de votre distribution ou éditeur, appliquez le backport source ou migrez.
• À corriger aussi cette semaine : la faille zero-day Windows Shell CVE-2026-96951 et les vulnérabilités listées au KEV chez Ivanti, Palo Alto PAN-OS, Fortinet, Cisco, BeyondTrust et Atlassian.

Qu'est-ce que PHP2Shell ?

PHP2Shell désigne deux vulnérabilités situées dans le moteur PHP lui-même, et non dans un framework ou un CMS particulier. WordPress, WooCommerce, Magento, Laravel et les sites PHP sur mesure peuvent donc tous être touchés si le serveur exécute une version vulnérable. PHP les note toutes deux 9.2 selon CVSS v4.0 ; elles ont été signalées par des chercheurs de Wiz, Calif et OpenAI.

• CVE-2026-109618 (corruption mémoire liée au manque de mémoire) : une erreur out-of-memory interrompt une requête et laisse des données partiellement initialisées. Le code de nettoyage traite ensuite cet état invalide, ce qui ouvre la voie à une exécution de code à distance.
• CVE-2026-109619 (état global obsolète / use-after-free) : PHP conserve des références aux données de requête après la libération de la mémoire, et une requête suivante sur le même worker peut les réutiliser. Les chercheurs ont démontré une exécution de code via la fonctionnalité session upload progress.
• Fuite de mémoire : les chercheurs ont aussi montré qu'il est possible de lire la mémoire des workers PHP sans authentification, exposant mots de passe, jetons de session et clés API.

Versions PHP concernées et corrigées

Les distributions Linux rétroportent souvent les correctifs sans changer le numéro de version. Sur Ubuntu, Debian, Red Hat, Alpine et autres, vérifiez le changelog du paquet ou l'avis de sécurité de l'éditeur pour les deux identifiants CVE plutôt que de vous fier au numéro de version.

Corriger PHP2Shell étape par étape

1. Recensez tous les environnements PHP. Serveurs web, conteneurs, images CI et installations secondaires compris. Attention : php -v en ligne de commande n'est pas forcément le binaire qui sert les requêtes web ; vérifiez aussi phpinfo() ou votre pool FPM.
2. Mettez à jour vers la version corrigée. Exemple sous Ubuntu ou Debian : sudo apt update && sudo apt install --only-upgrade php8.3 php8.3-fpm. Sur les systèmes RHEL, utilisez dnf update php*. Pour Docker, reconstruisez à partir du dernier tag officiel de l'image php et redéployez.
3. Redémarrez tous les processus PHP. Redémarrez PHP-FPM, Apache (pour mod_php), LiteSpeed ou FrankenPHP afin qu'aucun ancien worker n'exécute du code vulnérable.
4. Vérifiez. Assurez-vous que le paquet installé et les workers en cours d'exécution indiquent bien la version corrigée.
5. Revoyez les paramètres mémoire après correction. Le correctif introduit une limite mémoire plus stricte qui peut interrompre les scripts longs et les shutdown handlers ; testez donc les tâches lourdes comme les imports et rapports.
6. Changez vos secrets en cas d'exposition. Si un serveur exécutait une version vulnérable accessible sur Internet, envisagez de renouveler mots de passe de base de données, clés API et secrets de session en raison du risque de fuite mémoire.

Contournements temporaires si vous ne pouvez pas corriger aujourd'hui

Ces mesures réduisent le risque mais ne corrigent pas totalement les failles. Utilisez-les uniquement en attendant une vraie mise à jour.

• Pour CVE-2026-109619 : définissez session.upload_progress.enabled=0 dans php.ini ou la configuration du pool FPM, puis redémarrez les workers. Ne comptez pas sur ini_set() ou .user.ini. Sous PHP 8.5, définissez aussi fatal_error_backtraces=0.
• Pour CVE-2026-109618 : définissez post_max_size=8M (ou 32M si des uploads sont nécessaires), gardez upload_max_filesize en dessous, imposez des limites de taille de requête dans Nginx, Apache ou votre WAF et bloquez les requêtes multipart inutilisées par votre application.
• Limites mémoire : utilisez les limites de conteneur ou de cgroup plutôt que RLIMIT_AS ou RLIMIT_DATA.
• Pour PHP-FPM : envisagez pm.max_requests=1 si les performances le permettent, afin que chaque worker ne traite qu'une seule requête.
• Réduisez l'exposition : placez les interfaces d'administration et les sites de préproduction derrière un VPN ou une liste d'IP autorisées, et activez les règles WAF ou CDN pour PHP2Shell.

Signes que votre serveur a pu être ciblé

• Requêtes POST multipart inhabituelles suivies d'erreurs de limite mémoire dans les logs
• Pics de réponses HTTP 500
• Cookies PHPSESSID anormalement volumineux
• Plantages ou redémarrages inexpliqués des workers PHP
• Fichiers PHP nouveaux ou modifiés dans les dossiers d'upload ou de cache

Autres vulnérabilités critiques de la semaine

PHP n'était pas le seul sujet urgent. Le Patch Tuesday d'octobre 2026 de Microsoft (13 octobre) a corrigé environ 1 411 failles, dont 70 critiques et trois zero-days. La CISA a également ajouté plusieurs vulnérabilités activement exploitées à son catalogue Known Exploited Vulnerabilities (KEV) entre le 13 et le 16 octobre.

Pour toutes ces failles, priorisez les systèmes exposés à Internet comme les passerelles VPN, pare-feu, outils de support à distance et passerelles de messagerie. Appliquez le correctif de l'éditeur, vérifiez la version installée et, si vous ne pouvez pas corriger immédiatement, restreignez les interfaces d'administration aux réseaux de confiance ou désactivez la fonctionnalité concernée.

À noter pour les utilisateurs de Windows 10 et 11

La mise à jour d'octobre 2026 est la dernière mise à jour de sécurité pour Windows 11 24H2 Famille et Pro ainsi que Windows 10 Enterprise LTSB 2016. Planifiez la migration des postes concernés.

Comment OneXT Digital peut vous aider

De nombreuses entreprises gèrent des dizaines de sites PHP répartis sur différents hébergeurs, versions et plugins, ce qui rend les correctifs d'urgence lents et risqués. L'équipe OneXT Digital peut auditer votre environnement PHP, WordPress, WooCommerce et Magento, appliquer les correctifs PHP2Shell ou un durcissement temporaire, tester votre site après la mise à jour et mettre en place une maintenance continue pour que la prochaine CVE critique soit traitée en quelques heures et non en plusieurs semaines. Contactez-nous pour un audit de sécurité gratuit de votre site.

Sources

• Qualys: PHP2Shell security release analysis
• The Hacker News: PHP issues emergency patches for PHP2Shell
• CISA: Critical vulnerabilities in PHP require immediate patching
• BleepingComputer: Microsoft October 2026 Patch Tuesday