Des correctifs ont été publiés ce 21 octobre pour deux vulnérabilités notées 9,2 selon le système de notation des vulnérabilités CVSS v4.0. Elles ouvrent la porte à l’exécution de code à distance et sont exploitables sans authentification. Sa consigne tient en trois mots : mettre à jour. Pour Sophos, le vrai casse-tête sera de savoir où.
Un correctif publié dans l’urgence
L’équipe de sécurité de PHP avait prévenu la veille d’une publication imminente. C’est désormais chose faite avec PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent deux failles (CVE-2026-109618 et CVE-2026-109619) permettant l’exécution de code à distance sans authentification. L’une est liée à la gestion des erreurs de mémoire, l’autre à des données internes qui survivent d’une requête à l’autre alors qu’elles auraient dû disparaître.
Le délai très court entre l’annonce et la publication des correctifs n’a rien d’un hasard. Selon Manuel Dorne, sur son blog Korben, l’information avait déjà fuité : un message publié sur Hacker News, supprimé depuis, présentait les deux failles avec une vidéo montrant un outil baptisé PHP2Shell en train de prendre le contrôle de sites WordPress, Drupal, Magento ou Joomla. Les chercheurs de watchTowr auraient depuis confirmé que les vulnérabilités sont bien réelles.
Mettre à jour, il n’y a pas d’alternative
Selon l’équipe PHP, les distributions Linux et les fournisseurs de support étendu ont reçu les correctifs en avance. Les versions 8.1 et antérieures ne sont plus maintenues, mais vu la gravité de la situation, l’équipe a fourni des correctifs minimaux pour PHP 7.4, 8.0 et 8.1. PHP 8.2 arrive de son côté en fin de vie le 31 décembre prochain.
Quelques réglages de configuration permettent de réduire l’exposition en attendant, mais l’équipe est claire : ils ne protègent pas complètement. La mise à jour reste la seule option sûre.
Sophos pointe l’angle mort de l’inventaire
Encore faut-il savoir où tourne PHP. “Le défi ne consiste pas simplement à installer un correctif, mais à identifier tous les environnements dans lesquels PHP est utilisé, parfois à l’insu même des organisations”, souligne Don Smith, VP Threat Intelligence au sein de la Sophos Counter Threat Unit.
Il recommande de traiter en priorité les systèmes exposés à Internet et d’isoler ceux qui ne peuvent pas être corrigés. “Les cybercriminels agissent rapidement, notamment avec l’aide de l’IA. Une surveillance renforcée des serveurs web est donc essentielle pour détecter toute activité suspecte ou signe de compromission”.
