PHP2Shell : la PHP Foundation publie des correctifs pour deux failles critiques
Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance sans authentification sur les systèmes concernés.
La PHP Foundation a publié mercredi des correctifs pour deux vulnérabilités critiques de PHP, baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619. Elles permettent une exécution de code à distance sans authentification sur les systèmes affectés.
Les correctifs ont été communiqués à l'avance à de grandes entreprises du net et à des hébergeurs, dont des sociétés qui s'appuient sur PHP, dans le cadre d'un embargo coordonné.
Des banques, des enseignes de distribution, des sites de jeux, des boutiques en ligne, des hôpitaux et certaines agences gouvernementales ont mis des serveurs hors ligne ou fermé des sites pour appliquer les mises à jour. Des gouvernements ont commencé mercredi à appeler citoyens et entreprises disposant d'un site à limiter les risques.
Les deux failles ont été découvertes en 2024 par des chercheurs en sécurité, mais elles n'avaient alors été ni corrigées ni jugées exploitables. Des chercheurs ont récemment trouvé un moyen de les exploiter et alerté la PHP Foundation, qui a lancé un correctif coordonné.
Environ 70 % de l'internet accessible dépend de PHP, qui fait tourner notamment WordPress, Drupal, Joomla et MediaWiki.
En bref
Quelles sont les failles corrigées par la PHP Foundation ?
Deux vulnérabilités PHP baptisées PHP2Shell, référencées CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance sans authentification.
Quels logiciels sont concernés par PHP2Shell ?
PHP est utilisé par environ 70 % de l'internet accessible, notamment via WordPress, Drupal, Joomla et MediaWiki.
Quand les correctifs ont-ils été publiés ?
La PHP Foundation les a rendus publics mercredi.