Le 21 octobre 2026, l’équipe PHP a publié en urgence des correctifs pour deux failles critiques du cœur de PHP, surnommées « PHP2Shell » : CVE-2026-109618 et CVE-2026-109619. Elles permettent à un attaquant d’exécuter du code à distance sur le serveur, sans compte ni mot de passe. Des tentatives d’exploitation ont été observées dès le jour de la publication (watchTowr), et l’agence américaine CISA a ajouté la première faille à son catalogue des vulnérabilités activement exploitées.
Presque tous les sites WordPress, PrestaShop, Laravel ou CakePHP sont concernés : ces failles touchent le moteur de PHP lui-même, pas une extension.
Ce qui se passe techniquement
- CVE-2026-109618 : si une requête atteint la limite de mémoire (
memory_limit) au mauvais moment, PHP peut réutiliser des données mal initialisées et corrompre sa mémoire. - CVE-2026-109619 : une erreur fatale au mauvais moment peut laisser un état interne pointer vers la mémoire d’une requête précédente.
Dans les deux cas, l’attaquant envoie simplement des requêtes HTTP au site. Les serveurs où PHP tourne comme module Apache (mod_php) sont les plus exposés, mais PHP-FPM est aussi concerné (PHP Foundation).
Versions touchées et correctifs
| Branche PHP | Situation | Action |
|---|---|---|
| 8.5, 8.4, 8.3, 8.2 | Touchées avant 8.5.12, 8.4.27, 8.3.36, 8.2.35 | Mettre à jour vers ces versions |
| 8.1, 8.0, 7.4 | Touchées, plus de version officielle | Paquet corrigé de la distribution, ou migration vers 8.3 / 8.4 |
| 7.3 et plus anciennes, PHP 5 | Touchées, aucun correctif | Migration obligatoire |
Sources : PHP Foundation, Datadog Security Labs.
Attention : sur Debian, Ubuntu ou AlmaLinux, la distribution corrige souvent sans changer le numéro de version de PHP. Il faut donc vérifier le bulletin de sécurité de la distribution, pas seulement php -v. Et après la mise à jour, redémarrez PHP-FPM et Apache : tant que les anciens processus tournent, le serveur reste vulnérable.
Si vous ne pouvez pas mettre à jour tout de suite
Aucun réglage ne corrige complètement ces failles. En attendant la mise à jour, ces mesures réduisent le risque :
- restreindre l’accès public aux applications qui n’ont pas besoin d’être sur Internet (intranet, back-office) ;
- placer un reverse proxy ou un pare-feu applicatif (WAF, FortiWeb, FortiGate) devant les sites ;
- désactiver
session.upload_progress.enableddans la configuration PHP ; - traiter en priorité les serveurs exposés sur Internet et ceux en mod_php.
Ce que nous avons fait pour nos clients
Dès la pré-annonce du 20 octobre, l’équipe Digital Click a lancé le suivi de ses clients en infogérance et en hébergement :
- Inventaire des serveurs et sites PHP, avec la version exacte et le mode d’exécution (mod_php, PHP-FPM).
- Mise à jour des paquets PHP dès la publication des correctifs, puis redémarrage des services, en commençant par les serveurs exposés sur Internet.
- Mesures d’attente sur les serveurs qui ne pouvaient pas être mis à jour immédiatement : filtrage, réglages PHP, surveillance renforcée.
- Plan de migration pour les applications encore en PHP 7.x ou 8.0, qui ne recevront plus de correctifs officiels.
- Contrôle des journaux à la recherche de traces d’exploitation.
Vos sites sont-ils à jour ?
Si vous n’êtes pas sûr de la version de PHP de vos sites ou de vos applications métier, nous pouvons faire le point rapidement. Contactez-nous ou appelez le 29 680 706 (téléphone et WhatsApp).