PHP publie des correctifs d’urgence pour les failles critiques PHP2Shell

Mercredi 21 octobre, les responsables de PHP ont publié des mises à jour de sécurité imprévues pour deux failles critiques dans le moteur central du langage. Ces bugs, regroupés sous le nom de PHP2Shell, permettent à un attaquant sans compte d'exécuter du code sur des serveurs web. BleepingComputer a rapporté que les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les failles sont suivies sous les références CVE-2026-109618 et CVE-2026-109619, chacune étant notée 9.2 sur l'échelle CVSS v4.0. The Hacker News a indiqué que PHP les a publiées vers 14h00 UTC, un jour après que des détails aient fuité avant une divulgation prévue pour le 22 octobre.bleepingcomputer.com+1

Les enjeux sont élevés car les failles se situent dans le runtime lui-même, et non dans des applications individuelles. Wiz Research, l'une des équipes qui les a découvertes, affirme que PHP alimente environ 70% des sites web mondiaux et que chaque version de PHP de la dernière décennie, remontant jusqu'à la 5.4, contient au moins l'un de ces bugs.ncsc.gov.uk

Les gouvernements mettent des sites hors ligne

Des agences gouvernementales aux Pays-Bas et en Finlande ont mis des sites web hors ligne par précaution, a rapporté Reuters. Les agences de cybersécurité en Europe, en Australie, au Japon et en Grande-Bretagne ont conseillé aux utilisateurs de PHP de mettre à jour immédiatement ou de mettre leurs sites hors ligne. L'agence néerlandaise de cybersécurité a fermé son propre site web. Il en a été de même pour la Tweede Kamer, la chambre basse du parlement néerlandais, et l'Institut national de la santé publique et de l'environnement, selon la BBC. Le National Cyber Security Centre britannique a conseillé que "lorsque la remédiation immédiate n'est pas réalisable, les organisations devraient envisager de mettre le système hors ligne".reuters.com+1

Avant la sortie des correctifs, le CTO de Cloudflare, Dane Knecht, a déclaré : "Nous voyons des attaques précoces émerger", et a qualifié les règles de pare-feu de l'entreprise de "simple solution temporaire". Aucune intrusion réussie n'a été confirmée. À 11h26 UTC, watchTowr n'avait constaté aucune exploitation dans la nature.thehackernews.com+1

Les anciennes versions restent exposées

Les failles affectent PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L'équipe PHP affirme que mod_php présente le risque le plus élevé, car un exploit démontré peut être déclenché par une requête non authentifiée "avant même l'exécution du code de l'application". Les versions 8.1 et antérieures ne sont plus prises en charge et ne bénéficient d'aucune version officielle. Cependant, étant donné la gravité des bugs, l'équipe PHP a publié des backports de code source minimaux pour 7.4, 8.0 et 8.1. Les attaquants peuvent également lire la mémoire des processus de travail, qui peut contenir des mots de passe, des clés API et des certificats. La mise à jour d'une application telle que WordPress ne met pas à jour le runtime PHP sous-jacent.bleepingcomputer.com+1

Découverte assistée par l'IA

Les failles ont été découvertes par Wiz, Calif et l'équipe de sécurité Codex d'OpenAI. Selon The Hacker News, le code sous-jacent était présent dans PHP depuis plus d'une décennie. Wiz a comparé PHP2Shell à Heartbleed et Log4Shell. Elle a déclaré que les modèles d'IA de pointe ont "considérablement réduit" la barrière pour transformer une faille de longue date en un exploit fonctionnel. Avant la sortie, le développeur principal de PHP, Gina Peter Banyard, a averti que "la seule atténuation est de corriger/mettre à jour PHP".thehackernews.com+1