PHP corrige deux failles critiques de type PHP2Shell

L'équipe de développement de PHP a publié le 21 octobre 2026 des mises à jour de sécurité corrigeant deux vulnérabilités critiques d'exécution de code à distance, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619 et regroupées sous le nom PHP2Shell. Les deux failles présentent un score de gravité CVSS 4.0 de 9.2.

Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Selon dailysecu.com, l'équipe PHP a vérifié une exécution de code non authentifiée via des requêtes HTTP dans une configuration standard avec mod_php, avant même l'exécution du code de l'application web.

CVE-2026-109618 se produit lors du traitement d'erreurs de mémoire insuffisante au moment de l'arrêt d'une requête et peut mener à une exécution de code à distance. CVE-2026-109619 concerne un état interne résiduel subsistant après la libération de la mémoire d'une requête, qu'un processus worker peut référencer lors du traitement d'une requête ultérieure.

Les environnements touchés cités incluent PHP-FPM, Apache mod_php, PHP-CGI, FrankenPHP et LiteSpeed, mod_php étant classé comme le plus à risque. Sous Ubuntu 24.04 LTS, le paquet corrigé porte la version 8.3.6-0ubuntu0.24.04.13.

Les administrateurs ne peuvent pas se contenter de lancer php -v pour confirmer la correction, le service web pouvant utiliser une autre version de PHP-FPM ou du module Apache. La désactivation de session.upload_progress.enabled bloque certaines voies d'attaque mais pas toutes les variantes, et la valeur fatal_error_backtraces=0 dans PHP 8.5 ne constitue qu'une atténuation limitée.