PHP2Shell : SK Shieldus alerte sur deux failles critiques dans PHP

SK Shieldus a publié le 7 novembre un rapport de sécurité consacré à deux vulnérabilités de PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance, rapporte le site bloter.net. L'entreprise recommande de mettre à jour PHP et de redémarrer l'ensemble des workers PHP.

Les deux failles proviennent d'une terminaison anormale des requêtes lors de conditions de saturation mémoire (OOM) dans la gestion de la mémoire de PHP. CVE-2026-109619 exploite une condition de type use-after-free : un état mémoire résiduel d'une requête antérieure est réutilisé par une requête suivante sur le même worker PHP. La fonctionnalité session.upload_progress, activée par défaut, sert de chemin d'attaque.

SK Shieldus indique avoir reproduit la vulnérabilité dans un environnement de test sous PHP 8.4.26 avec le serveur web Apache, obtenant un reverse shell avec les privilèges du serveur web et sans authentification. CVE-2026-109618 se déclenche, selon le rapport, à l'arrêt d'une requête qui n'a pas pu s'initialiser après une saturation mémoire, ce qui permet l'exécution de code arbitraire.

Versions concernées et correctifs

Sont affectées les versions PHP 8.2.34 et antérieures, 8.3.35 et antérieures, 8.4.26 et antérieures, ainsi que 8.5.11 et antérieures, auxquelles s'ajoutent PHP 8.1 et les branches antérieures arrivées en fin de vie. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ou ultérieures.

Les deux vulnérabilités ont été divulguées en octobre 2026. Le 3 novembre, Kaspersky a publié une analyse citant Censys selon laquelle 29 millions des 46 millions de services PHP vulnérables détectés en ligne fonctionnaient encore sur des versions non corrigées après la publication des correctifs. Selon W3Techs, au 23 octobre 2026, 69,3 % des sites web dont le langage côté serveur est identifiable utilisaient PHP.