Une faille critique dans PHP nommée PHP2shell est corrigée et classée comme exploitée

Le 21 octobre 2026, l'équipe de développement de PHP a publié des versions correctives pour remédier à deux vulnérabilités critiques permettant l'exécution de code à distance sans authentification. Ces failles, identifiées par les codes CVE-2026-109618 et CVE-2026-109619, ont été corrigées dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La même journée, une mise à jour de sécurité a également été déployée pour Node.js. L'Agence japonaise pour la sécurité de l'information a ajouté le 27 octobre une information indiquant que le Cybersecurity and Infrastructure Security Agency américain a inscrit ces deux vulnérabilités dans son catalogue de vulnérabilités exploitées le 26 octobre. L'agence a rappelé l'importance de migrer vers les versions corrigées, tout en précisant qu'aucun cas d'attaque au Japon n'a été identifié à ce stade.

Une entreprise a mis à disposition gratuitement un kit de réponse opérationnel pour aider les équipes à gérer ce type d'incident. Ce kit, disponible depuis le 25 octobre 2026, propose une méthode structurée en sept étapes pour vérifier les versions, appliquer les correctifs et documenter les actions. Il inclut des modèles de registre, une liste de contrôle de vingt-deux points et des instructions pour des agents d'intelligence artificielle. Le document détaille la chronologie des événements, de l'annonce préliminaire à la publication des correctifs, et fournit des tableaux pour identifier les systèmes affectés. Il distingue les tâches à réaliser en interne de celles confiées à des prestataires externes, comme les hébergeurs ou les sociétés de maintenance.