PHP2Shell : deux failles critiques de PHP corrigées en urgence, déjà visées par des tentatives d'exploitation

Les équipes de PHP ont publié le 21 octobre 2026 des correctifs d'urgence pour deux failles critiques baptisées PHP2Shell, rapporte Help Net Security. Elles permettent une exécution de code à distance, sans authentification, sur les serveurs web.

Les deux failles

CVE-2026-109618 découle d'une corruption mémoire lors d'une interruption pour manque de mémoire : des données de requête partiellement initialisées peuvent être traitées comme valides au nettoyage. CVE-2026-109619 vient d'un état global périmé : un état lié à une requête survit à la libération de sa mémoire et peut être réutilisé par une requête suivante sur le même worker. Une seule requête non authentifiée peut déclencher l'attaque avant tout code applicatif.

Qui est concerné

Toute installation PHP qui sert des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed. mod_php est le plus exposé. Selon une mise à jour de l'article, toutes les versions de PAN-OS et de Panorama sont touchées et Palo Alto n'a pas encore de correctif ; Fortinet et Cisco vérifiaient encore leurs produits.

Une exploitation déjà en cours

Amazon Threat Intelligence dit avoir enregistré une tentative d'exploitation sur son honeypot MadPot dès le 17 octobre, quatre jours avant l'annonce publique. Un exploit fonctionnel a été démontré et Cloudflare a déployé de premières règles WAF.

Que faire

Passer aux versions corrigées (PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35) ou aux paquets patchés de sa distribution. Des rétroportages existent pour les versions 7.4, 8.0 et 8.1, qui ne sont plus supportées. Le NCSC britannique conseille de mettre hors ligne les systèmes impossibles à corriger rapidement.

Sources

• Help Net Security