Fortinet publie un guide de réponse aux failles critiques PHP2Shell
Le guide détaille quatre étapes, alors que FortiGuard Labs diffuse des correctifs virtuels pour les failles PHP notées 9,2 sur 10.
Fortinet a publié le 27 octobre 2026 un guide de réponse aux vulnérabilités critiques d'exécution de code à distance affectant le moteur PHP, regroupées sous le nom PHP2Shell, selon dailysecu.com. Deux failles sont concernées, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619.
Les deux vulnérabilités sont notées 9,2 sur 10 selon le référentiel CVSS 4.0, ce qui les classe comme critiques. Un attaquant peut exécuter du code sur les serveurs vulnérables à distance, sans authentification.
Le défaut se situe dans le moteur PHP lui même : mettre à jour uniquement le logiciel de gestion de contenu ou les extensions ne suffit donc pas à corriger le problème. La configuration mod_php du serveur web Apache est citée comme particulièrement risquée.
Quatre étapes et des correctifs virtuels
Le guide de Fortinet énumère quatre étapes : identifier les environnements concernés, tester et déployer les mises à jour, appliquer des mesures d'atténuation temporaires, puis rechercher les signes de compromission.
FortiGuard Labs, l'unité de recherche de Fortinet, distribue en parallèle des correctifs virtuels et des signatures IPS afin de réduire l'exposition pendant que les organisations mettent à jour PHP. De son côté, Censys recense environ 36,7 millions de services exposés sur internet qui exécutent des versions de PHP potentiellement affectées.
PHP équipe des plateformes de sites très répandues, parmi lesquelles WordPress, Drupal, Joomla et Magento.
En bref
Quelles sont les failles concernées par PHP2Shell ?
Deux vulnérabilités du moteur PHP, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 sous CVSS 4.0.
Mettre à jour son CMS suffit-il ?
Non. La faille se trouvant dans le moteur PHP lui même, la mise à jour du logiciel de gestion de contenu ou des extensions ne corrige pas le problème.
Que propose FortiGuard Labs ?
Des correctifs virtuels et des signatures IPS pour réduire l'exposition pendant la mise à jour de PHP.