Dernière mise à jour : 23 octobre 2026

Deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, sont appelées PHP2Shell. Un appelant distant peut exécuter du code sur un worker PHP concerné sans se connecter.

PHP est le langage côté serveur d’une grande part du web, souvent estimée à environ 70 % des sites dont le langage côté serveur est connu. Les boutiques en ligne, les sites d’entreprise et WordPress en font partie. La portée pratique est le site et les fichiers que ce processus PHP peut lire, pas une clé pour chaque machine d’internet.

Cette courte vidéo présente le rayon d’impact :

1. Ce qui s’est passé

Le projet PHP a publié des versions d’urgence le 21 octobre 2026. Une divulgation coordonnée visait le 22 octobre. Les détails ont circulé plus tôt, et les correctifs ont donc été avancés.

Les deux problèmes se trouvent dans le traitement des requêtes. L’un survient lorsque la mémoire s’épuise pendant que PHP construit encore la requête, et que le nettoyage ultérieur touche un état inachevé. L’autre survient lorsqu’une erreur fatale interrompt le nettoyage et laisse un pointeur périmé. L’attaquant n’a pas besoin d’un compte sur le site.

Le projet PHP considère Apache avec mod_php comme le déploiement le plus risqué. PHP-FPM, php-cgi, FrankenPHP et LiteSpeed sont aussi concernés. Une exploitation fiable dépend encore de la disposition du processus, mais l’exécution de code sans authentification est le problème que les éditeurs corrigent.

2. Quelles versions mettre à jour

Le correctif complet est une version PHP corrigée. Mettez à jour, puis redémarrez les workers PHP pour que le nouveau binaire serve le trafic.

• PHP 8.5 : corrigé dans 8.5.12. Les builds concernés vont de 8.5.0 à 8.5.11.
• PHP 8.4 : corrigé dans 8.4.27. Les builds concernés vont de 8.4.0 à 8.4.26.
• PHP 8.3 : corrigé dans 8.3.36. Les builds concernés vont de 8.3.0 à 8.3.35.
• PHP 8.2 : corrigé dans 8.2.35. Les builds concernés vont de 8.2.0 à 8.2.34.

PHP 8.1 et les versions plus anciennes, y compris 7.x et la lignée à partir de 5.4, n’ont pas de binaire amont pour CVE-2026-109618. Certains éditeurs Linux ont publié leurs propres paquets. Si votre serveur exposé à internet reste sur un PHP en fin de vie et que vous ne pouvez pas appliquer aujourd’hui un correctif d’éditeur, retirez ce site du réseau jusqu’à pouvoir passer à une version corrigée.

AWS, Red Hat et Ubuntu ont publié leurs propres consignes. Des articles indiquent aussi que la NSA a averti les opérateurs de corriger. Un changement de configuration ne remplace pas la mise à jour.

3. Comment les failles ont été trouvées

L’effort Patch the Planet d’OpenAI a pris part à la réponse. Calif a identifié l’une des failles avec GPT-5.6 Sol. Wiz a aussi signalé les problèmes de façon indépendante. Les mainteneurs de PHP ont conduit les correctifs et la publication.

À cause de la fuite anticipée, les correctifs sont arrivés en urgence plutôt qu’à la date de divulgation prévue. Dès que les détails ont été publics, la recherche de serveurs non corrigés a commencé.

4. Que faire maintenant

• Passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou au paquet corrigé de votre éditeur Linux ou de votre hébergeur, puis redémarrez PHP.
• Inventoriez chaque endroit où PHP tourne, y compris les appliances et les logiciels qui embarquent leur propre PHP, pas seulement la version installée pour la boutique.
• Si le serveur est encore sous PHP 8.1 ou plus ancien et qu’aucun paquet d’éditeur n’est disponible, ne le laissez pas sur l’internet public pendant que vous préparez le changement.

Une boutique qui n’est qu’un tas de plugins PHP revivra des journées comme celle-ci. Le correctif reste le premier travail. Le travail plus long est de ne pas donner la même forme à la prochaine urgence.

5. FatLeon Commerce

FatLeon Commerce est un code source propriétaire que vous déployez dans votre propre compte AWS. La boutique ne tourne pas sur PHP. Cette version de PHP ne la corrige pas, et ce défaut n’y est pas.

Une base de code, deux licences. L’achat est unique. Paddle.com est le merchant of record.

• Standard : les boutiques que vous exploitez. https://fatleon.com/product/fatleon-standard-license
• Agency : les boutiques que vous construisez aussi pour des clients. https://fatleon.com/product/fatleon-agency-license

Le fichier de licence dans le ZIP régit l’utilisation. Les questions sur une commande vont à info@fatleon.com.