PHP2Shell : deux failles PHP permettent d’exécuter du code à distance

En une phrase

PHP2Shell désigne deux failles du moteur PHP qui peuvent permettre à un attaquant d’exécuter du code sur un serveur web sans se connecter, dans certaines configurations.

Pourquoi ça te concerne

Le 20 octobre 2026, l’alerte tombe. Le lendemain, PHP publie des correctifs urgents. Le problème touche le moteur qui exécute le code des sites : même une application correctement écrite peut être exposée.

Les deux failles concernent sa mémoire de travail :

• La CVE-2026-109618 : des données incomplètes après un manque de mémoire. Elle apparaît lorsque PHP manque de mémoire au mauvais moment. Des données internes restent à moitié initialisées, puis sont utilisées comme si elles étaient valides.
• La CVE-2026-109619 : une référence oubliée. Elle laisse traîner une référence vers une zone de mémoire qui a été libérée. Une requête suivante peut la réutiliser.

Dans les deux cas, un attaquant peut transformer ce défaut en exécution de code à distance : faire lancer ses propres instructions au serveur, avec les droits du processus PHP.

Ce que les gens en ont fait

Des chercheurs ont montré comment exploiter ces défauts. Ryan Austin, chercheur chez Calif, une entreprise de cybersécurité, raconte sa recherche. Il a guidé un assistant IA à partir d’anciennes failles PHP, puis lui a fait examiner le code pour repérer des erreurs de gestion de la mémoire. Selon OpenAI, Calif a identifié une faille avec GPT-5.6 Sol, dans le cadre du programme Patch the Planet.

Des tentatives d’attaque ont été observées avant les correctifs. Amazon en retrouve une dès le 17 octobre dans MadPot, son réseau de serveurs leurres destiné à observer les attaquants. AWS précise que cela ne permet pas de savoir si ces tentatives auraient réussi sur de vrais systèmes.

Attention

La gravité est réelle. Ces observations ne donnent pas un décompte de sites piratés.

Si tu gères un site PHP, les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12, selon ta branche. Ton hébergeur ou distributeur peut aussi fournir un paquet avec le correctif intégré. Mettre à jour seulement le CMS ou ses extensions laisse le moteur inchangé.

À retenir pour la machine à café

PHP2Shell touche le moteur qui fait tourner les sites : il faut mettre PHP à jour, même si ton propre code est correct.