---
title: Une vulnérabilité critique nommée PHP2Shell affecte le langage de programmation PHP
url: https://www.dataloco.com/fr/une-vulnerabilite-critique-nommee-php2shell-affecte-le-langage-de-programmation-php
published: 2026-11-04T09:23:29+00:00
language: fr
section: Sécurité
source: https://japan.zdnet.com/article/35254176/
organizations: PHP, CISA, Wiz Research, Tanium, IPA, JPCERT/CC
publisher: Dataloco
---

# Une vulnérabilité critique nommée PHP2Shell affecte le langage de programmation PHP

Une vulnérabilité majeure, désignée sous le nom de PHP2Shell, a été révélée le 21 octobre 2026 concernant le langage de programmation PHP. Ce groupe de failles pourrait permettre à des tiers non authentifiés d'exécuter des programmes sur des serveurs si certaines conditions sont réunies.

PHP2Shell regroupe deux vulnérabilités spécifiques, CVE-2026-109618 et CVE-2026-109619. Comme le problème réside dans la base commune du logiciel et non dans des plug-ins ou des sites web particuliers, l'étendue potentielle des impacts est très vaste. Les développeurs de PHP ont attribué à ces failles un score de 9,2, classé comme urgent, selon la norme CVSS v4.0. Wiz Research indique que PHP soutient environ 70 pour cent des sites web mondiaux.

L'équipe de développement de PHP a publié des versions corrigées le 21 octobre, à savoir les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La CISA a fermement demandé aux organisations d'appliquer ces corrections immédiatement. Au Japon, l'IPA et le JPCERT/CC ont également émis des avertissements. Pour les agences fédérales des États-Unis, la CISA a fixé une date limite d'intervention au 29 octobre, heure locale.

L'attaque peut survenir avant même que les fonctions de connexion d'un site ne soient activées. Selon les développeurs, la faille CVE-2026-109618 a été démontrée via mod_php d'Apache sur un chemin atteint avant l'exécution du code de l'application, tandis que l'exécution distante de code via PHP-FPM a été confirmée à travers des chemins de code applicatifs. Par conséquent, la simple présence d'une fonction de connexion ne garantit pas la sécurité. De plus, certains chemins d'attaque peuvent ne laisser aucune trace suffisante dans l'historique d'opération du site web.

Des chercheurs ont rapporté que même sans l'exécution d'un programme malveillant, des informations telles que des mots de passe, des jetons d'authentification ou des clés API pourraient être lues depuis la mémoire tenue par PHP pendant le traitement. L'équipe de chasse aux menaces de Tanium a confirmé l'exécution de code via des requêtes HTTP pour la faille CVE-2026-109619 dans un environnement de laboratoire utilisant Apache mod_php et PHP 8.5.11 non corrigé.

Bien que la CISA ait déclaré le 23 octobre n'avoir observé aucune réussite d'exploitation en environnement réel, elle a ajouté les deux vulnérabilités au catalogue Known Exploited Vulnerabilities le 26 octobre. Cela indique l'existence de preuves fiables de tentatives ou de réussites d'exploitation, incluant les tentatives sur des pots de miel.

Au Japon, plusieurs services ont été suspendus préventivement pour vérification de sécurité, notamment des applications et pages web de banques régionales, des systèmes de recherche de documents publics municipaux, ainsi que certaines fonctions de services de création web et d'hébergement. Ces interruptions étaient des mesures préventives et non le résultat d'attaques.

## This story in other languages

- [العربية](https://www.dataloco.com/ar/thghrat-amny-khtyr-fy-lgh-albrmg-php-tsmh-btnfyth-bramg-aan-baad)
- [Indonesia](https://www.dataloco.com/id/kerentanan-kritis-php2shell-memungkinkan-eksekusi-program-jarak-jauh)
- [Русский](https://www.dataloco.com/ru/obnaruzeny-kriticeskie-uiazvimosti-v-iazyke-programmirovaniia-php)
- [हिन्दी](https://www.dataloco.com/hi/php-ma-gabhara-sarakashha-khamaya-paii-gaii-jasasa-saravara-para-anathhakata-paragarama-calna-ka-jakhama-ha)
- [Svenska](https://www.dataloco.com/sv/kritiska-sarbarheter-i-php-kan-tillata-fjarrstyrning-av-servrar)
- [Norsk](https://www.dataloco.com/no/kritiske-sarbarheter-oppdaget-i-programmeringsspraket-php)
- [Nederlands](https://www.dataloco.com/nl/kritieke-php2shell-kwetsbaarheden-maken-ongeautoriseerde-programma-uitvoering-mogelijk)