PHP2Shell : décryptage d’une double faille critique dans le moteur PHP

Découverte et origine des failles PHP2Shell

Débusquées grâce à l’analyse par intelligence artificielle, ces failles de sécurité sont restées inapparentes dans le cœur du moteur PHP depuis 2012. Elles ont été publiquement dévoilées fin octobre 2026 sous les identifiants CVE-2026-109618 et CVE-2026-109619, touchant non seulement PHP lui-même, mais aussi tous les systèmes ou applications bâtis sur ce langage.

Le caractère générique de ces vulnérabilités signifie qu’aucune application n’est épargnée dès lors qu’elle repose sur une version affectée de PHP : cela concerne des plateformes populaires comme WordPress, Drupal ou Joomla. Leur exploitation offre la possibilité pour un attaquant d’exécuter du code arbitraire à distance via un serveur web, ouvrant la voie à une prise de contrôle complète du système.

Modes d’exploitation et ampleur de l’attaque

La diffusion anticipée de détails techniques sur ces failles avant la publication officielle du correctif a conduit à des tentatives d’exploitation de failles actives quasi immédiates. Selon un chercheur en cybersécurité ayant surveillé des pots de miel (honeypots) équipés de PHP 8.4.26, 35 shells PHP malveillants ont été lancés par des processus Apache sur trois serveurs tests, tout juste trois jours après la mise à disposition du patch de sécurité.

Les chiffres soulignent la rapidité et la large portée de l’attaque. Près de 70 % des sites web mondiaux fonctionnent avec PHP : une part majeure du Web s’est retrouvée, ne serait-ce que temporairement, exposée à la compromission.

• Failles actives plusieurs jours avant le correctif
• Propagation confirmée sur des honeypots en moins de 72 heures
• Centaines de milliers de sites vulnérables recensés rapidement

Réaction des administrations et du secteur privé

Face au risque, de nombreuses institutions européennes ont agi promptement, débranchant temporairement leurs sites utilisant PHP. Ce mouvement massif visait à empêcher toute propagation automatisée ou manuelle de l’attaque pendant la fenêtre de vulnérabilité, le temps de localiser précisément où PHP était actif au sein des systèmes d’information. Jamais autant de sites administratifs et publics européens n’avaient été rendus inaccessibles en une seule journée.

Outre la coupure temporaire, les équipes informatiques se sont attelées à inventorier de façon exhaustive les services et serveurs concernés. Une vigilance particulière a été maintenue autour des CMS populaires et des applications métiers tournant sur des infrastructures PHP souvent oubliées dans les inventaires classiques.

Publication du correctif et mesures de mitigation

Le projet PHP a publié de façon anticipée des mises à jour corrigeant les deux failles majeures. Les entreprises et administrations concernées ont été invitées à appliquer immédiatement les correctifs de sécurité afin de réduire la surface d’attaque. Pour les organisations incapables de déployer le correctif sans délai, des solutions temporaires – telles que le blocage de certains flux réseau ou la désactivation de modules spécifiques – ont servi de mesure palliative.

L’approche recommandée passe par une triple vérification : localisation des instances PHP, filtrage accru des accès externes et audit des logs système pour repérer toute trace d’activité suspecte ayant pu précéder le patch.

1. Identifier toutes les versions PHP présentes dans son infrastructure
2. Mettre à jour sans attendre vers la version corrective proposée par PHP
3. Examiner les fichiers journaux pour détecter des signes d’intrusion