{"id":14594,"date":"2026-10-22T10:37:45","date_gmt":"2026-10-22T08:37:45","guid":{"rendered":"https:\/\/www.olanext.eu\/?p=14594"},"modified":"2026-10-22T10:37:45","modified_gmt":"2026-10-22T08:37:45","slug":"php2shell-failles-critiques-php-serveurs-web-22-octobre-2026","status":"publish","type":"post","link":"https:\/\/www.olanext.eu\/fr\/php2shell-failles-critiques-php-serveurs-web-22-octobre-2026\/","title":{"rendered":"PHP2Shell : deux failles critiques imposent une mise \u00e0 jour urgente des serveurs web"},"content":{"rendered":"

BARCELONA \u2014 Deux vuln\u00e9rabilit\u00e9s critiques d\u00e9couvertes dans le c\u0153ur de PHP, langage utilis\u00e9 par des millions de sites internet, ont conduit des entreprises et des administrations \u00e0 d\u00e9clencher des mesures d’urgence. Regroup\u00e9es sous le nom PHP2Shell, elles peuvent permettre, dans certaines conditions, l’ex\u00e9cution de code \u00e0 distance sans authentification. L’\u00e9quipe charg\u00e9e de la s\u00e9curit\u00e9 de PHP a publi\u00e9 mercredi 21 octobre des correctifs exceptionnels.<\/p>\n

Deux failles \u00e9valu\u00e9es \u00e0 9,2 sur 10<\/h2>\n

R\u00e9f\u00e9renc\u00e9es CVE-2026-109618 et CVE-2026-109619, ces vuln\u00e9rabilit\u00e9s ont obtenu un score de 9,2 sur l’\u00e9chelle CVSS 4.0. Elles r\u00e9sultent de d\u00e9fauts de gestion de la m\u00e9moire et de l’\u00e9tat interne du logiciel. Leur exploitation peut donner \u00e0 un attaquant la possibilit\u00e9 d’ex\u00e9cuter des instructions avec les droits du processus web ou d’acc\u00e9der \u00e0 des donn\u00e9es sensibles.<\/p>\n

Le risque concerne les serveurs qui utilisent PHP pour traiter les requ\u00eates, notamment ceux h\u00e9bergeant des applications WordPress, Drupal ou Joomla. Cela ne signifie pas que tous ces sites ont \u00e9t\u00e9 pirat\u00e9s : leur exposition d\u00e9pend de la version install\u00e9e, de la configuration et de l’accessibilit\u00e9 du service.<\/p>\n

Des correctifs publi\u00e9s en urgence<\/h2>\n

Les versions corrig\u00e9es sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ainsi que leurs mises \u00e0 jour ult\u00e9rieures. Les versions 8.1 et ant\u00e9rieures ne b\u00e9n\u00e9ficient plus du support officiel et n\u00e9cessitent une migration vers une branche maintenue.<\/p>\n

Plusieurs services ont \u00e9t\u00e9 isol\u00e9s \u00e0 titre pr\u00e9ventif pendant le d\u00e9ploiement des correctifs. Le centre de cybers\u00e9curit\u00e9 du service national de sant\u00e9 britannique estime qu’une exploitation future est tr\u00e8s probable et appelle \u00e0 une mise \u00e0 jour imm\u00e9diate. Le centre national n\u00e9erlandais de cybers\u00e9curit\u00e9 a \u00e9galement signal\u00e9 la circulation de d\u00e9monstrations publiques d’exploitation.<\/p>\n

Une vigilance particuli\u00e8re pour les entreprises<\/h2>\n

Les exploitants de sites marchands, de m\u00e9dias et de services publics doivent v\u00e9rifier la version de PHP r\u00e9ellement ex\u00e9cut\u00e9e sur leurs serveurs et appliquer les mises \u00e0 jour fournies par leur h\u00e9bergeur ou leur administrateur syst\u00e8me. Une simple mise \u00e0 jour de WordPress ou de ses extensions ne corrige pas une faille situ\u00e9e dans le moteur PHP. Lorsque l’installation imm\u00e9diate du correctif est impossible, un isolement temporaire des applications expos\u00e9es doit \u00eatre envisag\u00e9 apr\u00e8s \u00e9valuation du risque.<\/p>\n

L’alerte touche une composante essentielle des services num\u00e9riques utilis\u00e9s par les entreprises et les administrations. Les sp\u00e9cialistes recommandent aussi d’examiner les journaux techniques pour rechercher d’\u00e9ventuelles activit\u00e9s suspectes, sans assimiler automatiquement une vuln\u00e9rabilit\u00e9 \u00e0 une intrusion av\u00e9r\u00e9e.<\/p>\n","protected":false},"excerpt":{"rendered":"

Deux failles critiques dans PHP, not\u00e9es 9,2 sur 10, exposent des serveurs et n\u00e9cessitent des correctifs imm\u00e9diats.<\/p>\n","protected":false},"author":2,"featured_media":14596,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"wprm-recipe-roundup-name":"","wprm-recipe-roundup-description":"","footnotes":""},"categories":[78],"tags":[1397,1791,1790,1796,1795,1792],"tmauthors":[],"class_list":["post-14594","post","type-post","status-publish","format-standard","has-post-thumbnail","category-on-info","tag-cybersecurite","tag-php","tag-php2shell","tag-serveurs-web","tag-vulnerabilites","tag-wordpress"],"_links":{"self":[{"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/posts\/14594","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/comments?post=14594"}],"version-history":[{"count":1,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/posts\/14594\/revisions"}],"predecessor-version":[{"id":14597,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/posts\/14594\/revisions\/14597"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/media\/14596"}],"wp:attachment":[{"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/media?parent=14594"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/categories?post=14594"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/tags?post=14594"},{"taxonomy":"tmauthors","embeddable":true,"href":"https:\/\/www.olanext.eu\/fr\/wp-json\/wp\/v2\/tmauthors?post=14594"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}