PHP publie des correctifs d'urgence pour deux failles critiques permettant l'exécution de code à distance

person using macbook pro on white table — Dan Nelson / Unsplash

Le projet PHP a publié des mises à jour d'urgence pour corriger deux vulnérabilités critiques dans son moteur d'exécution, collectivement nommées PHP2Shell, qui permettent à des attaquants sans compte utilisateur d'exécuter du code arbitraire sur des serveurs web. Ces failles, identifiées sous les références CVE-2026-109618 et CVE-2026-109619, affectent presque toutes les versions de PHP depuis la version 5.4 et ont déjà fait l'objet de tentatives d'exploitation actives dans la nature.

Les deux vulnérabilités ont reçu un score de sévérité de 9,2 selon l'échelle CVSS version 4,0. Elles ont été découvertes par les équipes de recherche de Wiz, de Calif et du groupe Codex Security d'OpenAI. Le danger réside dans le fait que le problème se situe au cœur du moteur PHP lui-même, et non dans le code des applications. Par conséquent, même un site web minimaliste ou correctement codé reste vulnérable si le moteur d'exécution n'est pas corrigé. Toutes les configurations de PHP servant du contenu web sont concernées, y compris PHP-FPM, le module Apache mod_php, php-cgi, FrankenPHP et LiteSpeed.

Le module Apache mod_php présente le risque le plus élevé, car une démonstration d'exploitation a montré qu'une seule requête, sans aucune authentification, suffit à exécuter du code avant même que l'application ne commence à traiter la demande. Pour la vulnérabilité CVE-2026-109619, il est prouvé qu'elle permet l'exécution de code à la fois sur mod_php et sur PHP-FPM, bien que l'exploitation sur ce dernier nécessite certaines interactions avec l'application. Concernant la faille CVE-2026-109618, l'analyse indique un risque pour PHP-FPM, mais aucune exploitation complète n'a encore été démontrée pour cette configuration spécifique.

Au-delà de l'exécution de code, les attaquants peuvent lire la mémoire des processus workers de PHP sans avoir besoin d'exécuter du code au préalable. Cette capacité permet potentiellement l'exfiltration de mots de passe, de jetons d'authentification, de clés API et de certificats provenant d'autres requêtes. Des chercheurs ont déjà démontré cette lecture de mémoire sur des applications qu'ils ne contrôlaient pas. Les administrateurs système doivent mettre à jour immédiatement leur moteur d'exécution PHP, puis redémarrer tous les services concernés, car la mise à jour d'applications comme WordPress ou Laravel ne corrige pas le moteur sous-jacent.

Pour les versions de PHP qui ne sont plus maintenues officiellement, telles que les versions 7.4, 8.0 et 8.1, l'équipe de sécurité de PHP a publié le code source des correctifs rétroportés afin que les distributeurs puissent les intégrer. La version 8.2 arrivera en fin de support le 31 décembre 2026. Il est crucial de vérifier les journaux de modification des paquets fournis par les distributeurs Linux pour confirmer la présence des numéros de CVE, car les numéros de version peuvent rester inchangés malgré l'application du correctif. Après la mise à jour, il est recommandé de réviser les paramètres de limite de mémoire et de taille maximale des données POST, car le correctif introduit une nouvelle limite matérielle stricte qui arrête le processus instantanément sans exécuter les gestionnaires d'arrêt.

Bien que la mise à jour soit la seule solution complète, des mesures temporaires peuvent atténuer certains vecteurs d'attaque. Pour la première faille, il est conseillé de fixer la limite de mémoire à une valeur indéfinie dans la configuration pour empêcher les applications de la modifier, de réduire la taille maximale des données POST et de limiter la taille des requêtes au niveau du serveur web ou du proxy. Pour la seconde faille, la désactivation de la progression de téléchargement de session et des traces d'erreur fatales dans les versions récentes est recommandée, bien que cela ne couvre pas tous les modes d'attaque. Des entreprises de sécurité comme watchTowr et Cloudflare ont rapporté avoir détecté des tentatives d'exploitation, avec des attaquants modifiant leurs charges utiles pour contourner les règles des pare-feu d'applications web, bien qu'aucune compromission confirmée n'ait été signalée à ce jour.