--- title: "PHP2Shell : deux failles PHP permettent d’exécuter du code à distance" type: actu url: https://florent-tech.com/fr/articles/php2shell auteur: Florent Le Pape publie: 2026-10-24 definition: "PHP2Shell désigne deux failles du moteur PHP qui peuvent permettre à un attaquant d’exécuter du code sur un serveur web sans se connecter, dans certaines configurations." --- # PHP2Shell : deux failles PHP permettent d’exécuter du code à distance ## En une phrase PHP2Shell désigne deux failles du moteur PHP qui peuvent permettre à un attaquant d’exécuter du code sur un serveur web sans se connecter, dans certaines configurations. ## Pourquoi ça te concerne Le 20 octobre 2026, l’alerte tombe. Le lendemain, [PHP publie des correctifs urgents](https://www.php.net/archive/2026.php#2026-10-21-5). Le problème touche le moteur qui exécute le code des sites : même une application correctement écrite peut être exposée. Les deux failles concernent sa mémoire de travail : - **La [CVE-2026-109618](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) : des données incomplètes après un manque de mémoire.** Elle apparaît lorsque PHP manque de mémoire au mauvais moment. Des données internes restent à moitié initialisées, puis sont utilisées comme si elles étaient valides. - **La [CVE-2026-109619](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) : une référence oubliée.** Elle laisse traîner une référence vers une zone de mémoire qui a été libérée. Une requête suivante peut la réutiliser. Dans les deux cas, un attaquant peut transformer ce défaut en **exécution de code à distance** : faire lancer ses propres instructions au serveur, avec les droits du processus PHP. ## Ce que les gens en ont fait **Des chercheurs ont montré comment exploiter ces défauts.** [Ryan Austin, chercheur chez Calif, une entreprise de cybersécurité, raconte sa recherche](https://calif.io/php2shell/). Il a guidé un assistant IA à partir d’anciennes failles PHP, puis lui a fait examiner le code pour repérer des erreurs de gestion de la mémoire. Selon [OpenAI](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/), Calif a identifié une faille avec GPT-5.6 Sol, dans le cadre du programme Patch the Planet. **Des tentatives d’attaque ont été observées avant les correctifs.** [Amazon en retrouve une dès le 17 octobre dans MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/), son réseau de serveurs leurres destiné à observer les attaquants. AWS précise que cela ne permet pas de savoir si ces tentatives auraient réussi sur de vrais systèmes. ## Attention La gravité est réelle. Ces observations ne donnent pas un décompte de sites piratés. Si tu gères un site PHP, [les versions corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12](https://www.php.net/archive/2026.php#2026-10-21-5), selon ta branche. Ton hébergeur ou distributeur peut aussi fournir un paquet avec le correctif intégré. Mettre à jour seulement le CMS ou ses extensions laisse le moteur inchangé. ## À retenir pour la machine à café PHP2Shell touche le moteur qui fait tourner les sites : il faut mettre PHP à jour, même si ton propre code est correct. ## Sources 1. [Security advisory: Critical remote code execution vulnerabilities, update now](https://www.php.net/archive/2026.php#2026-10-21-5), PHP, 2026-10-21 2. [RCE via OOM corruption (CVE-2026-109618)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w), Équipe de sécurité PHP, 2026-10-21 3. [RCE via stale global state (CVE-2026-109619)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp), Équipe de sécurité PHP, 2026-10-21 4. [Today’s PHP Security Release, and How We’re Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/), The PHP Foundation, 2026-10-21 5. [A tale of two PHP remote vulnerabilities](https://calif.io/php2shell/), Calif Research, 2026-10-21 6. [Patch the Planet: global response coordination as agents uncover critical vulnerabilities](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/), OpenAI, 2026-10-21 7. [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/), CJ Moses, 2026-10-21 ## Crédits - [Calif Research](https://calif.io/php2shell/) : la recherche assistée par IA et les démonstrations d’exploitation - [The PHP Foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) : le récit de la découverte, des correctifs et de leur coordination - [Amazon Threat Intelligence](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) : les observations de tentatives d’attaque et leurs limites