Aller au contenuistheinternetok
Tous les incidents

Faille de sécurité·Critique

PHP2Shell : deux failles critiques dans PHP

Correctif dispoLes attaquants l'utilisent déjàConcerne les propriétaires de sites
PHP

Ce que ça change pour vous

Certains sites gouvernementaux ont été mis hors ligne par précaution.

PHP, le langage derrière une grande partie des sites web, a corrigé deux failles qui permettent à un attaquant de prendre le contrôle d'un serveur web avec une seule requête. Plusieurs gouvernements ont mis des sites hors ligne par précaution ; les visiteurs n'ont rien à faire, les propriétaires de sites doivent mettre PHP à jour tout de suite.

Début : 20 oct. 2026Mis à jour : 23 oct. 2026

Poster sur X

Que faire ?

Vous
Rien à faire. Certains sites gouvernementaux peuvent rester hors ligne un certain temps.
Si vous gérez un site ou une appli
Mettez PHP à jour vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou le paquet corrigé de votre distribution ; consultez son journal des modifications pour les identifiants CVE) et redémarrez tous les workers. PHP 8.1 et les versions antérieures ne reçoivent aucun correctif officiel. Des mesures comme session.upload_progress.enabled=0 réduisent seulement l'exposition ; la mise à jour est la seule solution complète.

Ce qui est touché

CVE-2026-109618CVE-2026-109619Score de gravité 9.2 sur 10

Chronologie

  1. Correctif dispo · 23 oct. 2026

    Cloudflare étend ses règles à un problème apparenté de progression de téléversement de session PHP, la CVE-2026-115560.

    Cloudflare

  2. Correctif dispo · 21 oct. 2026

    Les sites web de gouvernements de plusieurs pays, dont l'Allemagne, la Finlande, la Belgique, les Pays-Bas et la France, sont mis hors ligne par précaution.

    Australian Associated Press

  3. Correctif dispo · 21 oct. 2026

    PHP publie les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, qui corrigent la CVE-2026-109618 et la CVE-2026-109619. Toutes les installations PHP qui répondent à des requêtes web sont concernées ; le risque est le plus élevé avec Apache mod_php.

    php.net

  4. Atténué · 21 oct. 2026

    Cloudflare active des règles WAF contre ces failles sur toutes les offres, y compris Free, à partir de 03:02 UTC, et signale du trafic d'attaque visant ses clients après la fuite des détails.

    Cloudflare

  5. Identifié · 20 oct. 2026

    PHP annonce une version de sécurité critique pour le 21 octobre, qui corrige deux vulnérabilités notées 9.2 sur l'échelle CVSS v4.0.

    php.net

Sources

Lié