PHP2Shell : deux failles critiques dans PHP permettent une exécution de code à distance

Wiz, OpenAI et Calif ont divulgué publiquement les vulnérabilités de sécurité mémoire PHP2Shell, suivies comme CVE-2026-109618 et CVE-2026-109619 dans le runtime PHP, selon dailysecu.com. Les deux failles peuvent mener à une exécution de code à distance sans authentification ni interaction de l'utilisateur.

PHP2Shell est classé CWE-824 (accès à un pointeur non initialisé), avec un score CVSS v4.0 de 9,2 (critique). La complexité d'attaque est jugée élevée pour les deux failles : l'exploitation exige de contourner les protections intégrées et de réaliser un façonnage précis du tas sur le même worker Apache.

Deux origines distinctes

CVE-2026-109618 provient de la gestion par PHP des sorties de mémoire insuffisante via longjmp() ; elle a été signalée par Calif, Wiz, OpenAI et Quarkslab. CVE-2026-109619 découle de sorties sur erreur fatale qui laissent un état global pointant vers de la mémoire libérée ; elle a été signalée par Wiz, Calif et OpenAI.

PHP2Shell toucherait les versions de PHP à partir de la 5.4.0, précise dailysecu.com, sans que chaque version ait été testée individuellement. Trois des cinq techniques d'attaque démontrées utilisent la fonction de suivi de progression des téléchargements de session de PHP comme déclencheur distant, exécuté avant le code applicatif.

Selon l'article, plus de 69 % des sites web dont le langage côté serveur est confirmé utilisent PHP.