Mots-clés

Détails techniques: PHP2Shell et les vulnérabilités CVE‑2026‑109618 et CVE‑2026‑109619

Selon le rapport officiel publié par l’équipe de sécurité de PHP, deux vulnérabilités majeures ont été identifiées: CVE‑2026‑109618 et CVE‑2026‑109619. La première est liée à une corruption mémoire lors de la gestion des erreurs out‑of‑memory, permettant à un attaquant de déclencher une exécution de code arbitraire. La seconde exploite la réutilisation d’un état global obsolète après libération mémoire, ouvrant la voie à une compromission totale du serveur avant même l’exécution du code applicatif. Cette chaîne d’exploitation a rapidement été surnommée PHP2Shell par la communauté sécurité, car elle offre aux attaquants un vecteur direct pour transformer une simple requête web en prise de contrôle complète du serveur.

Comme l’a indiqué le NVD (National Vulnerability Database), ces failles affectent les versions PHP 8.2, 8.3, 8.4 et 8.5 non corrigées, ainsi que toutes les branches antérieures non supportées.

• CVE-2026-109618 (Out-of-memory): La faille réside dans la gestion des erreurs d'allocation de mémoire (out-of-memory). Lorsqu'une telle erreur survient, l'interpréteur PHP utilise la fonction interne longjmp() pour interrompre brutalement la requête. Cependant, ce flux de contrôle laisse des pans entiers de la mémoire de travail non initialisés. Lors du nettoyage automatique de la requête, PHP traite par erreur ces données invalides comme valides, ce qui permet à un attaquant distant d'orchestrer une corruption de mémoire et d'obtenir une exécution de code arbitraire (RCE).
• CVE-2026-109619 (Stale global state / Use-After-Free): Cette vulnérabilité découle du fait qu'un état global appartenant à une requête spécifique survit dans le processus du worker PHP alors que la mémoire associée a déjà été libérée (créant une faille de type Use-After-Free). Une requête web ultérieure traitée par ce même worker réutilise cet état global corrompu avant que l'initialisation normale ne le réinitialise, offrant aux attaquants un vecteur pour compromettre le serveur.

Exploitabilité immédiate démontrée sur WordPress, Joomla et Magento

D’après l’analyse du CERT‑EU, l’impact des vulnérabilités découvertes dans PHP est particulièrement préoccupant pour les environnements où ce langage est utilisé au cœur de CMS ou de frameworks. Un attaquant peut exploiter un simple upload de fichier multipart pour injecter du code malveillant et prendre le contrôle du serveur. Cela signifie que des plateformes comme WordPress ou Drupal, très répandues dans les entreprises et administrations, sont directement exposées. Le SANS Institute a d’ailleurs souligné que cette faille illustre une fois de plus l’importance d’un patch management rigoureux et d’une surveillance proactive des environnements de production.

Dans son Avis de Sécurité CERT‑EU 2026‑018, l’organisme a confirmé que le danger principal réside dans l’universalité de la faille. Le code vulnérable se trouvant dans le moteur PHP lui‑même, même une application web parfaitement codée reste exposée si l’interpréteur sous‑jacent est vulnérable. Cette caractéristique rend la menace globale et systémique. Des sociétés de cybersécurité comme Wiz Research et Sansec ont démontré l’exploitabilité immédiate de la faille sur des installations d’origine de WordPress, Drupal, Joomla ou encore Magento, prouvant que l’exposition est réelle et non théorique.

Sur le plan technique, l’une des méthodes privilégiées par les chercheurs pour déclencher la corruption mémoire liée à la vulnérabilité CVE‑2026‑109618 consiste à envoyer une requête HTTP de type multipart/form-data, couramment utilisée pour le téléversement de fichiers. Ce vecteur, banal en apparence, devient une arme redoutable dès lors que l’interpréteur PHP est vulnérable. C’est précisément cette combinaison d’exploitabilité immédiate et d’universalité qui a conduit la communauté sécurité à surnommer l’exploitation de ces failles PHP2Shell, car elle permet de transformer une requête web anodine en prise de contrôle totale du serveur.

Mesures de protection et bonnes pratiques

Les correctifs officiels ont été publiés le 21 octobre 2026, et il est impératif de mettre à jour vers les versions corrigées (8.2.35, 8.3.36, 8.4.27, 8.5.12). En attendant, plusieurs organismes de cybersécurité recommandent des mesures temporaires de mitigation, comme la désactivation de l’option session.upload_progress.enabled dans le fichier php.ini, le blocage des requêtes HTTP utilisant le type Content-Type: multipart, ainsi que le renforcement de la surveillance via un Web Application Firewall (WAF).

Selon l’OWASP Foundation, la sécurité applicative repose sur une combinaison de mises à jour régulières, de durcissement des configurations et de tests de pénétration, ce qui souligne l’importance d’une approche proactive et continue face aux menaces émergentes.