PHP2Shell : une faille dans PHP expose des millions de sites

Deux failles critiques dans PHP permettent d'exécuter du code à distance sans mot de passe. Les correctifs sont sortis le 21 octobre, mais des tentatives étaient déjà observées le 17.

Actualité du 22 octobre 2026 · 1 min 53 · 9 sources · 14 affirmations sourcées

En 30 secondes

Une faille dans un composant très banal peut tenir des sites publics hors ligne sans qu'aucun mot de passe ne soit volé.
Le problème n'est pas seulement de patcher vite, mais de savoir où tourne PHP, y compris dans les appliances et les images oubliées.
Un serveur mis à jour peut déjà être compromis : la recherche de portes dérobées fait partie de la remédiation.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

RapportéLe 21 octobre 2026, plusieurs sites de gouvernements, d'écoles et d'hôpitaux en Europe ont été mis hors ligne plutôt que de rester exposés[7]
ÉtabliDeux failles critiques de PHP permettent une exécution de code à distance sans authentification[1][4][2][5]
ÉtabliCorrectifs publiés le 21 octobre 2026 : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35[1][4]
RapportéEnviron 1,57 million d'hôtes joignables non patchés sur 2,58 millions qui annoncent une version de PHP, selon Censys au 21 octobre[6]
RapportéEnviron 1 million d'hôtes PHP en fin de vie, dont plus de 700 000 en PHP 3.x à 7.3, selon VulnCheck[6]
ÉtabliMécanisme : la mémoire est épuisée à un instant choisi, la requête est interrompue avec des données à moitié initialisées, puis le nettoyage lit cet état invalide[1][2]
ÉtabliSur Apache mod_php, l'attaque se produit avant l'exécution de la moindre ligne de code de l'application[2][1]
RapportéSelon CrowdStrike, une seule requête POST non authentifiée suffit à faire démarrer un shell à un worker Apache mod_php[7]
RapportéLa première tentative d'exploitation a été observée le 17 octobre, avant la levée de l'embargo, depuis un réseau d'anonymisation (Amazon)[6]
ÉtabliLa seconde faille, CVE-2026-109619, laisse un état résiduel survivre d'une requête à la suivante sur le même worker[3][1]
ÉtabliLes autorités recommandent d'inventorier toutes les installations de PHP, y compris dans les appliances et les logiciels où il est embarqué, et d'isoler les applications exposées tant que le correctif n'est pas appliqué[7][4]
ÉtabliLe NCSC recommande de rechercher les portes dérobées déposées avant l'application des correctifs[7]
InconnuLe nombre de serveurs réellement compromis, les auteurs et l'origine de la fuite avant l'annonce restent inconnus[6][7]
ÉtabliPalo Alto : PAN-OS et Panorama sont affectés dans toutes leurs versions, sans correctif publié à ce jour[8]

Transcription

Le 21 octobre, des sites d'hôpitaux, d'écoles et d'administrations en Europe ont été mis hors ligne. Une faille dans PHP, et le choix de couper plutôt que de rester exposé.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Selon Censys, 1,57 million d'hôtes joignables n'étaient pas patchés, sur 2,58 millions qui affichent une version de PHP. Environ 60 %. Près d'un million tournent même sur une version en fin de vie.

Mais comment on exécute du code sans mot de passe ?

Depuis Internet, une seule requête suffit, sans mot de passe. Un formulaire malformé, des en-têtes sans limite, et la mémoire éclate. PHP interrompt la requête en urgence, avec des données à moitié initialisées. Le nettoyage lit cette mémoire invalide, et sur Apache, le code s'exécute avant la première ligne de l'application. Une seconde faille laisse cet état survivre jusqu'à la requête suivante.

Ce qu'on sait : les correctifs sont sortis le 21 octobre, et la première tentative a été vue le 17. Ce qu'on ignore : combien de serveurs sont réellement compromis, qui est derrière, et comment ils ont su avant l'annonce. Palo Alto n'a pas encore de correctif pour PAN-OS.

Trois réflexes. Inventorier toutes les installations de PHP, y compris les appliances et les vieilles images de conteneurs. Mettre à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, et isoler le reste. Puis chercher les portes dérobées : un serveur patché peut déjà être compromis.

Une faille dans un langage, et des sites d'hôpitaux disparaissent. Le web tient sur des briques que personne ne regarde.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : vous savez quelle version de PHP fait tourner votre site ?

Les mots de l'épisode

Exécution de code à distance: Faire tourner ses propres instructions sur une machine distante, sans y être autorisé. Ici, avec les droits du serveur web.
Avant authentification: Se dit d'une faille exploitable avant toute vérification d'identité : aucun mot de passe, aucun compte, aucune session n'est nécessaire.
Fin de vie: Version d'un logiciel que son éditeur ne corrige plus. Les failles qui y sont découvertes restent ouvertes, sauf correctif rétroporté par la distribution.
Porte dérobée: Accès discret laissé par un attaquant pour revenir plus tard, même après la mise à jour qui ferme la faille d'origine.

Sources