La CISA confirme l'exploitation active de vulnérabilités critiques PHP2Shell

L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a confirmé lundi que des attaquants exploitent activement deux vulnérabilités critiques dans PHP, connues collectivement sous le nom de PHP2Shell. Ces failles, qui permettent une exécution de code à distance sans authentification, ont été ajoutées au catalogue Known Exploited Vulnerabilities (KEV) de l'agence, signalant un besoin urgent de remédiation à travers l'infrastructure web mondiale.

Ce qui s'est passé

Les deux vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619, portent toutes deux une note de sévérité de 9,2 sur le système commun de notation des vulnérabilités (CVSS). La CVE-2026-109618 est un problème de corruption mémoire hors limites (out-of-memory), tandis que la CVE-2026-109619 implique une gestion obsolète de l'état interne des requêtes. Les deux permettent aux attaquants d'exécuter du code arbitraire sur les serveurs affectés sans nécessiter d'authentification préalable.

La confirmation de l'exploitation active fait suite aux preuves recueillies par Adel Karimi, responsable de la détection et de la réponse chez Perplexity. Le 24 octobre 2026, Karimi a observé des tentatives réussies d'exécution de code à distance contre des systèmes honeypot. Les attaques ne se contentaient pas de provoquer des plantages ; elles entraînaient une divulgation utilisable de la mémoire. Karimi a noté que la chaîne d'exploitation livrait un vidage de cookie décodé de 800 KiB, avec des adresses de fonction dérivées de ce vidage apparaissant dans les charges utiles d'exécution ultérieures. Cette preuve a spécifiquement démontré la chaîne d'attaque sur un profil mod_php mono-processus, bien que la fiabilité puisse varier selon les différentes configurations.

En réponse à ces menaces, l'équipe de développement de PHP a publié des versions corrigées le 21 octobre 2026. Les agences fédérales disposent jusqu'au 29 octobre 2026 pour appliquer ces correctifs. Cependant, l'ampleur de l'exposition reste massive. PHP alimente environ 70 % de tous les sites web, et les estimations de Censys indiquent que plus de 32,51 millions de services PHP fonctionnent encore sur des versions vulnérables.

Comment cela fonctionne

Ces vulnérabilités exploitent des problèmes profonds dans la manière dont PHP gère la mémoire et les états des requêtes. La CVE-2026-109618 tire parti de la corruption mémoire hors limites, une condition où le logiciel ne gère pas correctement les erreurs d'allocation mémoire, permettant à un attaquant d'écraser les emplacements mémoire adjacents. La CVE-2026-109619 exploite les données obsolètes de l'état interne des requêtes, où les résidus de données provenant de requêtes précédentes sont mal gérés, créant une fenêtre pour l'injection ou l'exécution.

Le processus d'exploitation consiste à envoyer des requêtes élaborées qui déclenchent ces échecs de gestion de la mémoire. Une fois la corruption de la mémoire ou la confusion d'état survenue, l'attaquant peut injecter du code malveillant dans le flux d'exécution du serveur. Dans les cas observés, cela a conduit au vidage de données sensibles comme les cookies et à la dérivation d'adresses de fonction, qui sont ensuite utilisées pour stabiliser l'exploit et maintenir un accès persistant. Cette technique contourne entièrement les mécanismes d'authentification standard, accordant à l'attaquant un contrôle total sur le serveur compromis.

Détails clés

• Identifiants de vulnérabilité : CVE-2026-109618 (corruption mémoire hors limites) et CVE-2026-109619 (état interne des requêtes obsolète).
• Sévérité : Les deux vulnérabilités sont notées 9,2 sur l'échelle CVSS, indiquant un risque critique.
• Versions corrigées : Des correctifs sont disponibles dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiés le 21 octobre 2026.
• Exploitation active : Confirmée par le chercheur de Perplexity Adel Karimi le 24 octobre 2026, via l'analyse de honeypots.
• Exposition : Plus de 32,51 millions de services PHP sont estimés fonctionner sur des versions affectées.
• Risque supplémentaire : Les compilations Windows font également face à la CVE-2026-111497, une vulnérabilité du décodeur Brotli corrigée dans les mises à jour récentes.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables informatiques, l'utilisation généralisée de PHP signifie qu'une partie significative de l'infrastructure backend d'Internet est actuellement à risque. L'ajout de ces failles au catalogue KEV de la CISA est un indicateur fort que les agences fédérales et les grandes entreprises prioriseront le patching, mais le nombre considérable de services exposés suggère que de nombreuses petites organisations et systèmes hérités restent vulnérables. La capacité d'exécuter du code sans authentification rend ces failles particulièrement dangereuses, car elles ne nécessitent ni vol d'identifiants ni ingénierie sociale pour initier une attaque.

La nature technique de l'exploit, impliquant la corruption de la mémoire et la gestion des états, souligne la complexité de la sécurisation des langages de script côté serveur. Elle met également en évidence l'importance de maintenir les environnements d'exécution à jour. Avec des fournisseurs comme WordPress, Drupal, Cisco et IBM émettant des avis, l'effet domino s'étend au-delà des simples installations PHP à tout produit ou service qui intègre ou dépend de PHP. Le défaut de patching pourrait entraîner une compromission complète du serveur, un vol de données et un mouvement latéral potentiel au sein des réseaux d'entreprise.

Ce que vous pouvez faire

• Mettez à jour PHP immédiatement : Passez à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 si vous utilisez une version antérieure.
• Vérifiez les compilations Windows : Si vous utilisez PHP sur Windows, assurez-vous d'avoir installé les compilations mises à jour (par exemple, 8.5.12-1) pour corriger la vulnérabilité du décodeur Brotli CVE-2026-111497.
• Auditez les dépendances : Examinez les applications tierces ou les plateformes CMS (comme WordPress ou Drupal) pour garantir leur compatibilité avec les versions PHP corrigées et mettez-les à jour en conséquence.
• Surveillez les journaux : Recherchez des signes d'utilisation anormale de la mémoire, de création inattendue de processus ou d'exportations massives de données pouvant indiquer une tentative d'exploitation en cours.
• Désactivez les fonctionnalités inutiles : Si possible, désactivez la décompression automatique des réponses HTTP dans les extensions cURL, car cela peut atténuer le risque associé à la vulnérabilité Brotli sur Windows.
• Appliquez les correctifs des fournisseurs : Consultez les avis de sécurité des fournisseurs de matériel et de logiciels listés dans la réponse globale, tels que F5, Citrix et Siemens, et appliquez leurs correctifs recommandés.