La CISA ordonne aux agences fédérales de corriger deux failles PHP exploitées
Les vulnérabilités CVE-2026-109618 et CVE-2026-109619, surnommées PHP2Shell, ont été ajoutées au catalogue des failles exploitées de la CISA.
La CISA a inscrit deux vulnérabilités PHP, surnommées PHP2Shell, dans son catalogue des vulnérabilités exploitées connues, rapporte TechCrunch. L'agence a confirmé que ces failles ont été exploitées lors d'attaques réelles et a ordonné aux agences fédérales civiles américaines de corriger les systèmes concernés avant le 29 octobre 2026.
Les deux vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619. Selon TechCrunch, ce sont des chercheurs de la société de sécurité Kalif qui ont identifié l'exécution de code à distance exploitée.
L'équipe de développement de PHP a publié le 21 octobre 2026 une mise à jour de sécurité corrigeant ces failles. Le projet recommande de passer aux versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Certaines organisations et de grandes entreprises ont temporairement mis leurs sites hors ligne afin d'appliquer le correctif.
Un audit antérieur sans correctif
Lors d'un audit de sécurité mené en 2024, des vulnérabilités apparentées avaient été identifiées, mais elles n'avaient pas été corrigées faute de démonstration d'une exploitation.
En bref
Quelles sont les vulnérabilités PHP surnommées PHP2Shell ?
Il s'agit de CVE-2026-109618 et CVE-2026-109619, désormais inscrites au catalogue des vulnérabilités exploitées connues de la CISA.
Quelles versions de PHP faut-il installer ?
Le projet PHP recommande les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35.
Quelle est l'échéance fixée par la CISA ?
Les agences fédérales civiles américaines doivent corriger les systèmes concernés avant le 29 octobre 2026.