# Vulnérabilités PHP critiques : RCE sans authentification sur les serveurs web

_Publié le 31 octobre 2026 — https://ip73.fr/2026/10/31/vulnerabilites-php-critiques-rce-sans-authentification-sur-les/_

CISA presse les organisations d'appliquer sans délai des correctifs face à des vulnérabilités critiques dans PHP, baptisées « php2shell ». Ces failles, identifiées comme CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance sans qu'il soit nécessaire d'avoir des identifiants valides sur le système visé. L'Agence de cybersécurité et d'infrastructure des États-Unis (CISA) a ajouté ces deux failles à son catalogue des vulnérabilités connues pour être exploitées activement le 26 octobre 2026.

Ces failles touchent toutes les installations PHP qui servent des requêtes web. Qu'il s'agisse d'Apache avec mod_php, de PHP-FPM, de php-cgi, de FrankenPHP ou de LiteSpeed, le risque est jugé maximal par PHP lui-même. D'après CISA, les conséquences sont graves : un attaquant peut prendre le contrôle du serveur via ces failles de corruption mémoire ou d'état interne.

## Ce qui est touché et la gravité réelle

La nature de ces failles est technique, mais l'impact, lui, est direct : un accès complet au système. Concernant CVE-2026-109618, il est question d'une corruption mémoire via la fonction `longjmp()` lors d'erreurs de mémoire insuffisante (OOM). Le problème survient quand le système ne gère pas correctement l'état temporairement invalide après une tentative d'allocation, permettant une exécution de code. Pour CVE-2026-109619, c'est un problème d'état global qui n'est pas correctement réinitialisé, laissant des données périmées accessibles par des requêtes ultérieures.

Ces vulnérabilités sont confirmées comme étant exploitables sur le web, le constat étant étayé par des signaux d'alerte. Cloudflare, par exemple, a rapporté avoir détecté des milliers de tentatives d'exploitation dans les heures suivant l'annonce publique, un phénomène qui a rapidement explosé en millions de tentatives.

L'exploit peut être enchaîné. Selon BleepingComputer, CISA a d'ailleurs mis en garde les agences fédérales concernant un défaut de noyau Linux, fragnesia, que les attaquants combinent avec les failles PHP2Shell pour monter en privilèges.

## Qui doit agir et comment

L'urgence est absolue. CISA insiste pour que les organisations appliquent les correctifs immédiatement, en priorisant les systèmes exposés à l'internet. Les versions cibles à mettre à jour sont les suivantes : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Si une mise à jour immédiate est impossible, CISA préconise de mettre hors ligne les systèmes basés sur PHP qui utilisent des versions obsolètes, comme PHP 8.1 ou antérieure, jusqu'à ce qu'ils soient sécurisés.

Au-delà de la mise à jour, des mesures compensatoires existent en attendant l'application du patch. Un pare-feu d'applications web peut offrir une protection temporaire. Des administrateurs peuvent aussi réduire les limites de mémoire par défaut, même si cela n'est pas considéré comme une solution complète par les développeurs de PHP.

## Que faire maintenant

Avant toute chose, il est impératif d'inventorier tous les systèmes exécutant une version de PHP au sein de l'organisation, car ce langage est souvent intégré dans d'autres logiciels et sa présence peut être difficile à visualiser. En parallèle, les équipes doivent surveiller activement les logs pour détecter tout comportement suspect, comme des processus PHP qui tenteraient d'initialiser des shells ou de télécharger des outils. Les entités gouvernementales américaines ont d'ailleurs reçu un délai de 29 octobre pour implémenter les correctifs, ce qui souligne le niveau de gravité perçu par les autorités.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-109618 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-109619 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST) et [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0).*

## Sources

- [Critical Vulnerabilities in PHP Require Immediate Patching \| CISA](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching), cisa.gov
- [CISA urges federal agencies to patch after PHP exploits observed](https://www.itpro.com/security/cisa-urges-federal-agencies-to-patch-after-php-exploits-observed), ITPro, 28 octobre 2026
- [CISA warns of Fragnesia Linux flaw chained in PHP2Shell attacks](https://www.bleepingcomputer.com/news/security/cisa-warns-of-fragnesia-linux-flaw-chained-in-php2shell-attacks/), BleepingComputer, 29 octobre 2026
- [Avis de sécurité (github.com)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w), github.com, 21 octobre 2026
- [CVE-2026-109618](https://nvd.nist.gov/vuln/detail/CVE-2026-109618), NVD (NIST)
- [CVE-2026-109618 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-109618), CISA
- [CVE-2026-109619](https://nvd.nist.gov/vuln/detail/CVE-2026-109619), NVD (NIST)
- [CVE-2026-109619 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-109619), CISA