Theori reproduit la faille PHP2Shell et publie un guide d'urgence

La société de cybersécurité offensive Theori a annoncé le 22 octobre 2026 avoir reproduit et vérifié de manière indépendante la vulnérabilité PHP2Shell du moteur PHP, répertoriée sous les identifiants CVE-2026-109618 et CVE-2026-109619, et avoir publié un guide de réponse d'urgence destiné aux entreprises et aux organisations, selon digitaltoday.co.kr.

PHP2Shell est un défaut du moteur PHP lui-même qui permet une exécution de code à distance sans authentification ou une lecture de la mémoire du processus. La faille est notée 9.2, soit le niveau critique, sur l'échelle CVSS v4.0.

Sont concernées les versions PHP 8.2.34, 8.3.35, 8.4.26 et 8.5.11 ainsi que toutes les versions antérieures, y compris l'ensemble des versions en fin de vie inférieures à PHP 8.1 (7.x et 5.x incluses). PHP recommande de passer aux versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Pour les environnements où la mise à jour immédiate du moteur PHP est difficile, Theori propose des mesures d'atténuation temporaires d'urgence.

Le chercheur senior de l'équipe AI & Cyber Research de Theori a déclaré que les preuves de concept se diffusent rapidement et qu'il convient de vérifier sans délai l'état des correctifs pour chaque distribution de système d'exploitation.

Des PoC déjà diffusés avant l'avis officiel

En amont de la publication de l'avis de sécurité officiel, une vidéo de démonstration de preuve de concept et des binaires corrigés avaient fuité, et les PoC circulent rapidement, selon les éléments de contexte disponibles.