Alerte Sécurité : Comprendre les Failles "php2shell" (CVE-2026-109618 & CVE-2026-109619)

Deux failles critiques d'exécution de code à distance (RCE)—surnommées "php2shell"—ont été divulguées et corrigées sur l'ensemble des branches PHP actives. Évaluées avec un score de gravité maximal (CVSS 9.2), ces vulnérabilités permettent à des attaquants non authentifiés de prendre le contrôle de serveurs web avant même l'exécution du code applicatif.

PHP propulsant plus de 70 % des serveurs web dans le monde (y compris WordPress, Laravel, Drupal et de nombreuses applications sur mesure), le déploiement immédiat des correctifs est essentiel.

Analyse Technique : Que S'est-il Passé ?

Les avis de sécurité couvrent deux mécanismes distincts de corruption de mémoire au cœur du moteur PHP :

1. CVE-2026-109618 : Corruption lors de la Gestion Dépassée de la Mémoire (OOM)

• Le mécanisme : Lorsqu'une requête dépasse la limite memory_limit configurée dans PHP, le moteur interrompt brutalement l'exécution via longjmp().

• La faille : Si cette interruption survient pendant l'initialisation de structures de données (par exemple lors du traitement d'un fichier téléversé), le gestionnaire de nettoyage tente de libérer des pointeurs non initialisés.

• L'impact : Un attaquant peut forger une requête HTTP dépassant intentionnellement la limite de mémoire pour manipuler le tas (heap) et exécuter du code à distance.

2. CVE-2026-109619 : Persistance d'État Global entre les Requêtes des Processus Workers

• Le mécanisme : Dans les environnements réutilisant les processus workers (tels que PHP-FPM, Apache mod_php, FrankenPHP ou LiteSpeed), les workers traitent plusieurs requêtes successives sans redémarrer.

• La faille : Lorsqu'une erreur fatale interrompt brutalement une requête, certains états mémoire persistent après la libération des allocations.

• L'impact : La requête suivante traitée par le même worker peut accéder à cette mémoire altérée par l'attaquant avant sa réinitialisation complète.

Versions Affectées & Statut

Branche PHPVersions VulnérablesVersion CorrigéeStatut PHP 8.5Antérieures à 8.5.128.5.12Branche Active PHP 8.4Antérieures à 8.4.278.4.27Branche Active PHP 8.3Antérieures à 8.3.368.3.36Branche Active PHP 8.2Antérieures à 8.2.358.2.35Branche Active PHP 8.1 & inférieuresToutes les versionsAujourd'hui sans correctifFin de vie (EOL)

Attention pour les systèmes obsolètes : L'équipe PHP ne publiera aucun correctif pour les versions en fin de vie (EOL) comme PHP 8.1, 7.4 ou 5.6. Les serveurs utilisant ces versions doivent être migrés vers PHP 8.2 ou supérieur sans délai.

Plan d'Action & Correctifs

1. Mise à jour des Paquets Système

Mettez à jour les binaires PHP sur vos serveurs :

# Ubuntu / Debian
sudo apt update && sudo apt upgrade php-fpm php-cli

# RHEL / AlmaLinux / Rocky Linux
sudo dnf update php php-fpm

# Vérification
php -v

2. Mesures d'Atténuation Temporaires (Si la mise à jour est différée)

1. Désactiver la progression du téléversement de session : Dans votre fichier php.ini ou la configuration FPM :

   session.upload_progress.enabled = 0
   

2. Restreindre la taille des requêtes en amont : Réduisez post_max_size et appliquez des limites strictes au niveau de Nginx ou Apache.

3. Redémarrer les services : Exécutez sudo systemctl restart php-fpm.