Deux vulnérabilités majeures découvertes au cœur du langage PHP exposent potentiellement des millions de sites internet à des attaques permettant l’exécution de code à distance, sans authentification préalable. Référencées CVE-2026-109618 et CVE-2026-109619, et regroupées sous l’appellation « PHP2Shell », ces failles présentent chacune un score de criticité CVSS de 9,2 sur 10. Alors que des tentatives d’exploitation sont déjà signalées, CYBER RÉUNION appelle l’ensemble des organisations réunionnaises à vérifier sans délai leurs infrastructures et à appliquer les correctifs publiés le 21 octobre 2026.
Une menace majeure pour un composant essentiel du Web
Le 21 octobre 2026, l’équipe de sécurité du langage PHP a publié en urgence plusieurs mises à jour destinées à corriger deux vulnérabilités particulièrement graves affectant le moteur même du langage.
PHP constitue l’une des technologies les plus répandues pour le fonctionnement des sites internet et des applications web. Il est notamment utilisé par des systèmes de gestion de contenu tels que WordPress, Drupal, Joomla ou encore Magento, qui équipent une part considérable des sites institutionnels, commerciaux et associatifs.
Les estimations couramment citées situent son utilisation autour de 70 % des sites web dont le langage côté serveur est connu.
Contrairement à de nombreuses vulnérabilités affectant un plugin, une extension ou un système de gestion de contenu particulier, PHP2Shell concerne directement le moteur d’exécution de PHP.
Cette distinction est essentielle : un site internet peut disposer d’un CMS parfaitement à jour et rester vulnérable si le composant PHP sous-jacent n’a pas été corrigé.
Le périmètre potentiellement concerné est donc considérable : sites vitrines, plateformes de commerce électronique, espaces clients, applications métiers, extranets, portails administratifs ou encore applications hébergées dans des infrastructures mutualisées.
Pour les entreprises, collectivités et établissements publics de La Réunion, cette alerte nécessite une mobilisation immédiate des équipes informatiques, mais également des prestataires chargés de l’hébergement, de l’exploitation et de la maintenance des services numériques.
Deux vulnérabilités critiques permettant une prise de contrôle à distance
Les vulnérabilités identifiées sont les suivantes :
| Référence | Nature | Criticité |
|---|---|---|
| CVE-2026-109618 | Exécution de code à distance liée à une corruption de mémoire lors d’un dépassement de limite mémoire | Critique – 9,2/10 |
| CVE-2026-109619 | Exécution de code à distance liée à la réutilisation d’un état mémoire obsolète | Critique – 9,2/10 |
Ces deux vulnérabilités concernent la gestion interne de la mémoire et des erreurs du moteur PHP.
Elles peuvent, dans certaines conditions, permettre à un attaquant distant d’exécuter des instructions arbitraires sur un serveur vulnérable, sans posséder de compte utilisateur et sans authentification préalable.
CVE-2026-109618 : une corruption de mémoire lors du traitement des requêtes
La première vulnérabilité repose sur une anomalie dans la gestion des dépassements de mémoire, communément appelés Out of Memory (OOM).
Lorsqu’une requête PHP atteint la limite de mémoire autorisée, son traitement peut être interrompu alors que certaines structures internes ne sont que partiellement initialisées.
Le processus de nettoyage qui suit peut alors manipuler des données invalides et provoquer une corruption de mémoire.
Dans certaines configurations, notamment avec Apache utilisant le module mod_php, les chercheurs ont démontré la possibilité de déclencher cette vulnérabilité avant même que le code de l’application web ne soit exécuté.
CVE-2026-109619 : la réutilisation dangereuse d’informations mémoire
La seconde vulnérabilité concerne la persistance d’informations internes après la libération de leur espace mémoire.
Une requête ultérieure, exécutée par le même processus PHP, peut réutiliser un état devenu invalide, entraînant un phénomène appelé Use-After-Free.
Selon les conditions d’exploitation, cette situation peut provoquer un arrêt du processus, une divulgation d’informations présentes en mémoire ou une exécution de code à distance.
La divulgation de mémoire constitue également un risque important : elle pourrait exposer des informations sensibles manipulées par les applications, notamment des jetons de session, des identifiants ou des secrets techniques.
Quels sont les risques concrets ?
Une exploitation réussie pourrait permettre à un attaquant de :
- Prendre le contrôle du serveur web avec les privilèges du processus PHP compromis.
- Accéder à des fichiers et à des informations sensibles.
- Dérober des données personnelles, professionnelles ou des identifiants.
- Modifier le contenu d’un site internet ou y introduire du code malveillant.
- Déployer une porte dérobée permettant de maintenir un accès non autorisé.
- Perturber ou interrompre le fonctionnement d’un service numérique.
- Utiliser le serveur compromis comme point d’appui pour tenter de progresser dans le système d’information.
La compromission d’un serveur web exposé sur Internet peut ainsi constituer le point de départ d’un incident de cybersécurité beaucoup plus étendu.
Quelles infrastructures sont concernées ?
L’alerte ne concerne pas uniquement les serveurs PHP directement administrés par les organisations.
Elle touche potentiellement plusieurs environnements technologiques :
- Les serveurs Apache utilisant
mod_php. - Les architectures s’appuyant sur PHP-FPM.
- Les environnements
php-cgi. - Les serveurs utilisant FrankenPHP ou LiteSpeed.
- Les applications PHP hébergées dans des conteneurs.
- Les plateformes mutualisées ou les solutions d’hébergement managé.
- Certains équipements et logiciels commerciaux embarquant leur propre moteur PHP.
Les environnements Apache avec mod_php présentent un niveau de risque particulièrement élevé, compte tenu des possibilités d’exploitation démontrées par les chercheurs.
Les autres modes d’exécution ne doivent toutefois pas être considérés comme protégés. Des chemins d’exploitation ont également été identifiés dans des environnements PHP-FPM.
Il convient par ailleurs de rappeler que la présence de PHP n’est pas toujours directement visible.
Certaines applications métiers, interfaces d’administration, appliances ou plateformes logicielles peuvent intégrer PHP sans que les utilisateurs ou même les responsables fonctionnels en aient connaissance.
L’inventaire doit donc dépasser les seuls sites internet publics et intégrer l’ensemble des composants logiciels susceptibles d’utiliser PHP.
Des correctifs disponibles depuis le 21 octobre 2026
L’équipe de développement PHP a publié quatre versions de sécurité permettant de corriger les vulnérabilités identifiées.
Versions à installer impérativement
| Branche PHP | Version corrigée |
|---|---|
| PHP 8.5 | 8.5.12 ou ultérieure corrigée |
| PHP 8.4 | 8.4.27 ou ultérieure corrigée |
| PHP 8.3 | 8.3.36 ou ultérieure corrigée |
| PHP 8.2 | 8.2.35 ou ultérieure corrigée |
| PHP 8.1 et versions antérieures | Versions hors support officiel : migration ou correctif spécifique du fournisseur |
Les versions officielles sont disponibles sur le site de l’éditeur : https://www.php.net/downloads.php
Attention aux versions obsolètes
Les branches PHP 8.1 et antérieures ne bénéficient plus de correctifs de sécurité directement fournis par le projet PHP.
Certaines distributions Linux et certains fournisseurs de maintenance étendue peuvent néanmoins proposer des correctifs rétroportés.
Dans ce cas, l’évaluation de la vulnérabilité doit s’appuyer sur les avis de sécurité du fournisseur : le numéro de version affiché peut rester identique malgré l’intégration d’un correctif.
En l’absence de correctif disponible, CYBER RÉUNION recommande de procéder à une migration vers une branche maintenue ou d’isoler temporairement les services concernés d’Internet.
À noter également : la branche PHP 8.2 atteindra sa fin de vie le 31 décembre 2026. Les organisations utilisant encore cette version doivent donc anticiper leur migration, indépendamment de l’application du correctif d’urgence.
Des signaux d’exploitation déjà observés
La publication des correctifs intervient dans un contexte de forte mobilisation de la communauté internationale de cybersécurité.
Selon les informations publiées le 21 octobre par watchTowr, des exploitations en conditions réelles ont été signalées.
Cloudflare a également observé du trafic d’attaque ciblant ces vulnérabilités, ainsi que des tentatives de contournement des protections déployées au niveau de ses pare-feu applicatifs.
Des preuves de concept ont rapidement circulé sur Internet, facilitant les recherches de sécurité mais contribuant également à abaisser les barrières techniques pour des acteurs malveillants.
Ces observations doivent être distinguées des signalements émanant des autorités nationales, dont les niveaux de visibilité et les dates de publication peuvent différer.
À ce stade, ces éléments justifient une posture de prévention renforcée, sans permettre d’affirmer que l’ensemble des infrastructures vulnérables fait déjà l’objet d’attaques abouties.
La situation reste évolutive.
Une mobilisation internationale exceptionnelle
Face à la gravité des vulnérabilités, plusieurs organismes nationaux et internationaux ont publié des recommandations urgentes.
En France, le CERT-FR de l’ANSSI a diffusé l’alerte CERTFR-2026-ALE-014, appelant notamment à l’application des correctifs et à l’isolement des équipements concernés lorsqu’ils utilisent des versions non maintenues.
Au niveau européen, une déclaration conjointe a été publiée par la Commission européenne, l’ENISA, le CERT-EU, Europol EC3 et le réseau des CSIRT nationaux.
Cette communication appelle les organisations à identifier les applications utilisant PHP, à coordonner les interventions avec leurs prestataires et à corriger prioritairement les systèmes accessibles depuis Internet.
Plusieurs administrations et organisations européennes ont également pris la décision de suspendre temporairement certains services web par précaution.
Ces interruptions préventives ne constituent pas, en elles-mêmes, la preuve d’une compromission.
Elles témoignent néanmoins de la priorité accordée à la maîtrise du risque.
Que doivent faire les organisations réunionnaises ?
Au regard du niveau de criticité des deux vulnérabilités et des premiers signaux d’exploitation, CYBER RÉUNION recommande aux entreprises, collectivités, associations et établissements publics du territoire d’engager sans délai les actions suivantes.
1. Identifier tous les services utilisant PHP
La première étape consiste à établir un inventaire des infrastructures concernées.
Cet inventaire doit comprendre les sites internet institutionnels, les plateformes commerciales, les applications métiers, les interfaces d’administration, les environnements hébergés et les services fournis par des prestataires externes.
Une vigilance particulière doit être accordée aux composants PHP intégrés dans des logiciels tiers, des conteneurs et des équipements techniques.
Les responsables informatiques doivent déterminer non seulement la version de PHP installée, mais également la version réellement utilisée pour traiter les requêtes web.
2. Appliquer immédiatement les correctifs de sécurité
La mise à jour du moteur PHP doit être considérée comme une opération prioritaire.
Les organisations doivent installer les versions corrigées publiées le 21 octobre ou appliquer les correctifs de sécurité spécifiques fournis par leurs distributions et éditeurs.
Mettre à jour WordPress, Drupal, Joomla ou tout autre CMS ne suffit pas si la version de PHP exécutée par le serveur demeure vulnérable.
3. Redémarrer les services et redéployer les conteneurs
Il s’agit d’un point de vigilance essentiel.
Une fois les correctifs installés, les administrateurs doivent redémarrer les processus PHP concernés, notamment les services PHP-FPM, les serveurs Apache utilisant mod_php et les éventuels processus persistants.
Les conteneurs applicatifs doivent également être reconstruits ou redéployés à partir d’images intégrant les versions corrigées.
En effet, certains processus déjà démarrés peuvent continuer à utiliser une ancienne version vulnérable du moteur PHP alors même que les fichiers installés sur le serveur ont été mis à jour.
La vérification doit donc porter sur les processus réellement en cours d’exécution, et pas uniquement sur la version déclarée par le système.
4. Isoler temporairement les services impossibles à corriger
Lorsqu’une mise à jour immédiate n’est pas possible, les mesures compensatoires doivent être évaluées selon le niveau d’exposition et la criticité du service.
Elles peuvent notamment inclure une restriction des accès, une limitation à un réseau privé ou une suspension temporaire de l’accessibilité depuis Internet.
Pour les systèmes obsolètes ne disposant d’aucun correctif fiable, l’isolement constitue une mesure de protection majeure.
Cette recommandation est cohérente avec les positions du CERT-FR, du CERT-EU et des autorités européennes.
5. Renforcer la surveillance des infrastructures
Les équipes techniques doivent examiner les événements susceptibles de révéler des tentatives d’exploitation ou une compromission.
Une attention particulière doit être portée :
- Aux requêtes HTTP multipart inhabituelles.
- Aux erreurs répétées de mémoire ou aux réponses HTTP 500 anormales.
- Aux arrêts et redémarrages inexpliqués des processus PHP.
- Aux processus PHP lançant des interpréteurs de commandes ou téléchargeant des fichiers.
- Aux modifications suspectes de fichiers applicatifs.
- Aux connexions sortantes inhabituelles depuis les serveurs web.
- Aux alertes produites par les outils EDR, IDS, IPS et WAF.
Ces indicateurs ne constituent pas, isolément, des preuves d’exploitation. Leur absence ne permet pas davantage d’exclure une compromission.
Lorsque des indices suspects sont identifiés, les organisations doivent engager une analyse de sécurité adaptée, préserver les éléments utiles à l’investigation et évaluer la nécessité de renouveler les secrets potentiellement exposés.
Les pare-feu applicatifs WAF peuvent-ils protéger les sites vulnérables ?
Les pare-feu applicatifs web, communément appelés WAF, peuvent constituer un dispositif de réduction du risque en attendant l’application des correctifs.
Certains éditeurs, dont Cloudflare, ont annoncé le déploiement de protections spécifiques visant à détecter ou bloquer des tentatives d’exploitation.
Le CERT-FR mentionne également plusieurs mesures temporaires, notamment la désactivation de certaines fonctionnalités PHP liées au suivi des téléversements et la restriction des requêtes HTTP multipart.
Ces mesures présentent néanmoins des limites importantes.
D’une part, elles peuvent perturber le fonctionnement de certaines applications, notamment celles qui utilisent le téléversement de fichiers.
D’autre part, elles ne couvrent pas nécessairement tous les scénarios d’exploitation possibles.
L’équipe officielle PHP précise explicitement qu’il n’existe aucune mesure d’atténuation complète : la mise à jour demeure la seule solution sûre.
CYBER RÉUNION recommande donc de considérer les règles WAF, les restrictions de configuration et les dispositifs de filtrage comme des protections complémentaires et transitoires, jamais comme des alternatives à la correction.
Les organisations disposant d’une prestation WAF doivent solliciter leur fournisseur afin d’obtenir confirmation des protections effectivement déployées, de leur périmètre et de leurs limites.
Un plan d’action prioritaire pour les responsables informatiques
Pour faciliter la mobilisation des organisations, CYBER RÉUNION propose le calendrier opérationnel suivant.
| Priorité | Actions attendues |
|---|---|
| Immédiate | Identifier les actifs PHP accessibles depuis Internet, appliquer les correctifs disponibles, redémarrer les services et vérifier les versions réellement exécutées. |
| Sous 24 heures | Étendre les vérifications aux applications internes, aux conteneurs, aux composants tiers et aux environnements managés. Confirmer la situation auprès des hébergeurs. |
| Sans attendre si aucun correctif n’est possible | Restreindre ou suspendre l’exposition des systèmes concernés et organiser leur migration. |
| Dans les jours suivants | Rechercher d’éventuels indices de compromission, analyser les journaux, renouveler les secrets si nécessaire et formaliser les opérations réalisées. |
| À moyen terme | Renforcer l’inventaire des composants logiciels, la gestion des versions obsolètes et les procédures de déploiement accéléré des correctifs critiques. |
Ce calendrier constitue une recommandation de priorisation opérationnelle. Il ne doit pas conduire à différer l’isolement d’un système vulnérable lorsque le risque impose une action immédiate.
Vous faites appel à un prestataire d’hébergement ou de maintenance ?
Toutes les organisations ne disposent pas de compétences internes pour administrer les infrastructures techniques qui hébergent leurs applications.
C’est notamment le cas de nombreuses TPE-PME, associations et petites collectivités.
Dans cette situation, CYBER RÉUNION recommande de solliciter immédiatement le prestataire chargé de l’hébergement ou de la maintenance du site internet afin d’obtenir une confirmation écrite des actions réalisées.
Cette confirmation devrait notamment préciser :
- La version PHP effectivement utilisée par les services hébergés.
- Le niveau d’exposition aux deux vulnérabilités.
- La date d’application des correctifs ou des mesures de protection.
- La confirmation du redémarrage des services concernés.
- Les éventuelles restrictions ou mesures temporaires mises en place.
- L’existence ou non d’indices d’exploitation identifiés.
Il est particulièrement important de distinguer la mise à jour de l’application web de celle du moteur PHP sous-jacent.
Une confirmation générique indiquant qu’un site est « à jour » ne constitue pas nécessairement une garantie suffisante.
Des vulnérabilités révélatrices de l’évolution de la menace cyber à l’ère de l’intelligence artificielle
Au-delà de leur gravité technique, les vulnérabilités PHP2Shell illustrent une transformation profonde du paysage de la cybersécurité.
Les travaux de recherche publiés indiquent que plusieurs équipes spécialisées, notamment Calif, OpenAI et Wiz, ont contribué à identifier et documenter ces vulnérabilités.
Des modèles avancés d’intelligence artificielle ont joué un rôle significatif dans les travaux de recherche, l’analyse des mécanismes de vulnérabilité et la validation de certains scénarios d’exploitation.
Ces découvertes concernent des mécanismes internes historiques du langage PHP, dont certains défauts sous-jacents remontent à de nombreuses années.
L’épisode démontre que des vulnérabilités particulièrement complexes peuvent demeurer présentes pendant des périodes prolongées dans des composants logiciels largement utilisés.
Il illustre également la capacité croissante des technologies d’intelligence artificielle à accélérer la découverte et l’analyse de faiblesses techniques difficiles à identifier par les approches conventionnelles.
Cette évolution présente un double enjeu.
D’un côté, elle contribue à renforcer les capacités des chercheurs et des défenseurs en facilitant l’identification de vulnérabilités profondes.
De l’autre, elle pourrait accélérer le développement de nouveaux scénarios d’exploitation et réduire le délai séparant la divulgation d’une vulnérabilité de son utilisation malveillante.
Pour les organisations, l’enjeu n’est donc plus seulement de disposer de mécanismes de protection, mais également d’être capables d’identifier rapidement leurs actifs exposés et d’appliquer des correctifs dans des délais de plus en plus courts.
CYBER RÉUNION mobilisé pour accompagner les acteurs du territoire
Face à ce type de menace, la rapidité de réaction et la coordination entre acteurs constituent des facteurs déterminants de réduction du risque.
À travers le CSIRT La Réunion, CYBER RÉUNION contribue à la prévention, à l’anticipation et à la gestion des incidents de cybersécurité affectant les organisations du territoire.
Le dispositif accompagne notamment les entreprises, collectivités, associations et autres organisations dans la compréhension des menaces, la qualification des situations d’exposition et l’orientation vers les mesures de sécurisation adaptées.
Les équipes du CSIRT peuvent également contribuer à la qualification des signalements d’incidents et à l’orientation vers des prestataires spécialisés lorsque la situation le nécessite.
Dans le contexte des vulnérabilités PHP2Shell, CYBER RÉUNION invite particulièrement les responsables de systèmes d’information, les hébergeurs, les développeurs et les prestataires numériques réunionnais à relayer cette alerte et à engager les vérifications nécessaires auprès de leurs clients et partenaires.
La protection de notre écosystème numérique repose aussi sur la vigilance collective et sur la capacité de chacun à agir rapidement face aux menaces émergentes.
Conclusion : une urgence de correction, mais aussi un enjeu durable de résilience numérique
Les vulnérabilités PHP2Shell constituent un événement majeur de cybersécurité en raison de leur criticité, de la diffusion du langage PHP et de la possibilité d’exécution de code à distance sans authentification préalable.
Leur exploitation potentielle concerne un très large éventail d’organisations, indépendamment de leur taille ou de leur secteur d’activité.
La disponibilité de correctifs ne suffit pas à elle seule à garantir la protection des infrastructures.
Encore faut-il identifier précisément les systèmes concernés, appliquer les mises à jour, redémarrer les services et vérifier l’efficacité des opérations réalisées.
Le message de CYBER RÉUNION est clair : si votre organisation utilise PHP, directement ou par l’intermédiaire d’un prestataire, vérifiez immédiatement votre exposition et assurez-vous que les correctifs ont été effectivement appliqués.
Cet épisode rappelle également une exigence fondamentale : la cybersécurité ne peut plus reposer uniquement sur la réaction aux incidents. Elle suppose un inventaire fiable des actifs, une gestion rigoureuse des composants logiciels et une capacité durable à anticiper les vulnérabilités critiques.
La vigilance, la coordination et la rapidité d’action constituent aujourd’hui des leviers essentiels de la résilience numérique de La Réunion.
Remerciements et crédits
Cet article a été élaboré à partir, notamment, du rapport de synthèse produit par Olivier CALEFF, Responsable de CSIRT.FR, dont la qualité et la richesse des travaux d’analyse et de veille ont contribué à éclairer les enjeux techniques et opérationnels de ces vulnérabilités.
CYBER RÉUNION tient à le remercier pour ce travail de synthèse et son partage au bénéfice de la communauté de la cybersécurité.
Pour aller plus loin : sources officielles et ressources techniques
Alertes institutionnelles
- CERT-FR / ANSSI – Alerte CERTFR-2026-ALE-014 : multiples vulnérabilités dans PHP
- PHP – Avis officiel de sécurité et versions corrigées
- CERT-EU – Security Advisory 2026-018
- ENISA – Déclaration conjointe européenne sur les vulnérabilités PHP
- CISA – Critical Vulnerabilities in PHP Require Immediate Patching
Analyses techniques et recommandations opérationnelles
- PHP Foundation – Retour sur la publication des correctifs de sécurité
- watchTowr – PHP Remote Code Execution / PHP2Shell
- Wiz Research – Analyse des vulnérabilités PHP2Shell
- Imperva – Analyse des mécanismes de corruption mémoire
- NCSC-NL – Ressources opérationnelles de détection et de remédiation
CYBER RÉUNION — CSIRT La Réunion
Vous suspectez une compromission de votre infrastructure ou souhaitez obtenir des conseils sur les démarches à engager ?
Retrouvez les dispositifs d’accompagnement et les modalités de signalement sur https://cyber-reunion.fr.
