PHP2Shell : deux vulnérabilités critiques dans PHP – mettez-le à jour maintenant
Publié 21.10.2026 · Niveau de gravité : Critique · Mis à jour 27.10.2026
Que se passe-t-il : le 21 octobre 2026, PHP a corrigé deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, appelées « PHP2Shell ». Les deux peuvent permettre l’exécution de code sur le serveur sans authentification. La première concerne la gestion d’une insuffisance de mémoire, tandis que la seconde concerne des données internes qu’une requête ultérieure peut utiliser après la libération de la mémoire.
Quel est le niveau de gravité : critique. Des exemples de code d’attaque sont publics et CERT-FR a observé des tentatives d’attaque (27 octobre 2026). Les deux vulnérabilités figurent sur la liste américaine de la CISA des vulnérabilités activement exploitées.
Qui est concerné : tous les sites web fonctionnant sous PHP – notamment WordPress, Joomla, Drupal et de nombreuses boutiques en ligne – utilisant PHP 5.x, 7.x, 8.0, 8.1 ou 8.2 avant 8.2.35, 8.3 avant 8.3.36, 8.4 avant 8.4.27 et 8.5 avant 8.5.12. PHP 5, 7, 8.0 et 8.1 ne bénéficient plus de correctifs.
Ce que vous devez faire : mettez à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou une version plus récente. Demandez à votre fournisseur quelle version utilise votre site web. S’il fonctionne avec une version qui ne reçoit plus de correctifs, il doit être migré vers une version maintenue. Des mesures temporaires existent, mais selon PHP, elles ne rendent pas une installation sûre ; seule la mise à jour le permet.
Voir aussi CVE-2026-115560, une nouvelle vulnérabilité dans la même partie de PHP, qui n’a pas encore été corrigée. Vous ne savez pas si votre site est concerné ? Écrivez-nous et nous vous dirons ce qu’il faut faire.