PHP2Shell, les deux failles critiques de PHP

Qui est concerné : toute installation PHP qui répond à des requêtes web — PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed. mod_php est le plus exposé.
Versions touchées : toutes les versions antérieures à 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Avant 8.2 : pas de version corrigée.
Ce que ça permet : exécuter du code avec les droits du serveur web, sans compte, par une simple requête — et lire de la mémoire du serveur.
Où en est-on : correctifs publiés le 21 octobre à 14 h UTC, premières tentatives d'exploitation observées le jour même, SANS en alerte jaune.

Les sources officielles

L'avis de l'équipe PHP — « Critical remote code execution vulnerabilities, update now ».
CVE-2026-109618 — corruption de mémoire à l'épuisement de mémoire (GHSA-w8hw-w9fx-j79w).
CVE-2026-109619 — état global périmé réutilisé par la requête suivante (GHSA-6wmf-4rv5-p3rp).
CERT-FR, avis CERTFR-2026-AVI-1359.
SANS Internet Storm Center — passage en InfoCon jaune.
LWN — synthèse et liens vers les correctifs à rétroporter pour PHP 7.4, 8.0 et 8.1.

Mettre à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, puis redémarrer PHP-FPM ou Apache, et vérifier avec php -v. Debian 13 : le paquet 8.4.27 est publié, Ubuntu 24.04 : 8.3.6-0ubuntu0.24.04.13 (le numéro de version ne bouge pas, le correctif est dedans) (apt update && apt upgrade). Ubuntu, RHEL et dérivés : les distributions ont reçu les correctifs en avance, surveillez vos dépôts. Docker : reconstruire sur les images php:8.x fraîches.
En attendant le paquet, un correctif virtuel en bordure : CrowdSec AppSec, règle crowdsecurity/vpatch-CVE-2026-109618 (cscli hub update, cscli collections upgrade crowdsecurity/appsec-virtual-patching, puis recharger CrowdSec), ou l'équivalent sur votre pare-feu applicatif.
Réduire l'exposition : mod_php est le plus touché, PHP-FPM un peu moins ; une interface d'administration PHP n'a rien à faire ouverte sur Internet.
PHP plus ancien que 8.2 : aucune version corrigée. Le projet fournit des correctifs à rétroporter (branches PHP-7.4, PHP-8.0 et PHP-8.1-CVE-2026-109618-109619 sur GitHub). C'est le moment de migrer.
Vérifier après coup : la version servie, le redémarrage effectif des processus, et les journaux pour les tentatives passées.

20 octobre, fin de journée: Le fil de veille remonte l'annonce de l'équipe PHP : un correctif « à enjeu élevé » le lendemain à 14 h UTC.
21 octobre, 16 h: Les correctifs sortent ; CERT-FR, SANS, LWN, BleepingComputer, The Hacker News arrivent dans le fil en quelques minutes.
17 h 54: Serveurs Debian passés en PHP 8.4.27, PHP-FPM redémarré.
18 h: Correctif virtuel CrowdSec activé sur les deux fronts : tout ce qui passe par eux est filtré en amont.
21 octobre, 22 h 29: Ubuntu publie php8.3 8.3.6-0ubuntu0.24.04.13 (noble-security, correctif CVE-2026-109618 et CVE-2026-109619 appliqué sans changer le numéro de version). La veille automatique l'installe dans les dix minutes, redémarre PHP-FPM et vérifie le serveur Nextcloud : tout le parc exposé est corrigé.

Le fil de veille qui a tout remonté est public : awoui.com/veille (et pour votre lecteur de flux : awoui.com/flux). Cette page : awoui.com/php2shell, en court awoui.com/php.

Rédigé à partir des avis officiels cités ci-dessus ; Awoui forme des administrateurs Windows et Linux et n'est lié à aucun des éditeurs mentionnés.