PHP2Shell : que s’est-il passé ? 

Les 20 et 21 octobre 2026, deux vulnérabilités affectant le moteur PHP ont fait l’objet d’une divulgation anticipée sous le nom de PHP2Shell. Référencées CVE-2026-109618 et CVE-2026-109619, elles ont été identifiées de manière proactive par l’équipe PHP, qui avait préparé les correctifs en vue d’une publication coordonnée. La divulgation prématurée d’informations techniques a toutefois conduit à accélérer leur mise à disposition afin de permettre la sécurisation rapide des environnements concernés.

Ces vulnérabilités touchent le cœur même de PHP, et non une application particulière, un framework ou un CMS comme WordPress ou Laravel. Ainsi, même une application correctement développée et sécurisée peut être exposée si la version de PHP qui l’exécute n’a pas été mise à jour.

Les deux vulnérabilités concernent la gestion interne de la mémoire lors du traitement des requêtes :

• CVE-2026-109618 concerne une corruption de mémoire liée à une situation d’épuisement de mémoire (Out Of Memory).

• CVE-2026-109619 concerne l’utilisation d’une référence à une zone mémoire déjà libérée (use-after-free).

Dans certaines conditions, ces défauts pourraient permettre à un attaquant distant d’exécuter du code avec les droits du processus PHP. Le niveau de risque dépend notamment de la configuration et de l’exposition de l’environnement concerné.

Cet épisode rappelle l’importance de pouvoir déployer rapidement les correctifs de sécurité dès leur publication. Il ne s’agit pas de remettre en cause la sécurité de PHP, mais d’illustrer un enjeu commun à toutes les technologies : même lorsqu’une vulnérabilité est découverte de manière proactive, une divulgation anticipée peut imposer une réaction immédiate pour protéger les systèmes.

Un incident qui a nécessité une réaction rapide

La chronologie de l’incident explique pourquoi la réactivité des équipes techniques était essentielle.

• 20 octobre 2026 : des informations techniques sur les vulnérabilités deviennent publiques avant la divulgation coordonnée initialement prévue. Les administrateurs doivent se préparer à intervenir rapidement.

• 21 octobre 2026 : les correctifs officiels sont publiés pour les branches PHP encore prises en charge, avec des versions corrigées de PHP 8.2 à PHP 8.5.

• Dès l’alerte : CFD-Innovation se mobilise avec son partenaire Seiden pour identifier les environnements concernés, informer les clients et organiser les interventions de mise à jour.

L’enjeu n’était pas simplement de transmettre un bulletin de sécurité. Il fallait aussi identifier les installations réellement concernées, tenir compte des spécificités de chaque environnement et s’assurer que les correctifs puissent être déployés dans de bonnes conditions.

Quelles sont les versions PHP corrigées ?

Pour les branches PHP encore maintenues, les versions correctives publiées le 21 octobre 2026 sont PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 et PHP 8.5.12. La mise à jour vers la version corrective correspondant à chaque branche est indispensable pour corriger les vulnérabilités PHP2Shell.

CFD-Innovation et Seiden : une mobilisation sur plusieurs environnements

Chez CFD-Innovation, nous accompagnons les entreprises qui utilisent PHP, en particulier sur IBM i. Cet incident illustre l’importance de pouvoir compter sur un partenaire technique réactif et sur une connaissance approfondie des environnements de production.

Nous avons travaillé en collaboration avec les équipes de Seiden pour :

• Alerter nos clients sur la gravité de la situation et les risques associés aux versions vulnérables.

• Identifier les installations concernées et déterminer les actions nécessaires selon les versions et les environnements.

• Intervenir rapidement pour appliquer les correctifs et remettre à niveau les installations PHP de nos clients.

• Vérifier les mises à jour afin de s’assurer que les versions corrigées étaient bien utilisées après intervention.

Nous tenons à souligner la très grande réactivité de Seiden Group, qui a rapidement mis à disposition les correctifs pour les versions PHP 8.2, 8.3, 8.4 et 8.5.

Seiden a également fait le nécessaire pour proposer des correctifs pour des versions antérieures, jusqu’à PHP 7.4. C’est un point particulièrement important pour les entreprises qui maintiennent encore des applications historiques et ne peuvent pas systématiquement migrer vers une version récente dans l’urgence.

Notre intervention ne s’est pas limitée à IBM i : nous avons également accompagné des clients sur des environnements Windows et Linux.

Cette capacité à intervenir sur plusieurs plateformes permet d’apporter une réponse adaptée à la réalité des systèmes d’information, où PHP peut être présent sur des serveurs et des architectures très différents.

PHP2Shell rappelle une réalité : aucune technologie n’est à l’abri

Cet incident peut faire penser à d’autres vulnérabilités majeures qui ont marqué l’histoire de la sécurité informatique, comme Log4Shell, qui concernait la bibliothèque Java Log4j en décembre 2021.

Dans les deux cas, une vulnérabilité affectant un composant largement utilisé peut avoir des conséquences sur un très grand nombre de systèmes. Une dépendance technique peut ainsi devenir un point d’entrée pour une attaque, même lorsque l’application métier elle-même n’a pas été modifiée récemment.

Ce constat dépasse largement PHP. Les systèmes d’exploitation, les serveurs web, les bibliothèques, les frameworks et les composants Open Source nécessitent tous une veille et une maintenance régulières.

Il est également important de distinguer deux sujets :

• Appliquer un correctif réduit l’exposition à la vulnérabilité identifiée.

• Vérifier l’intégrité du système permet de rechercher d’éventuelles traces d’exploitation antérieure.

Une mise à jour ne garantit pas, à elle seule, qu’un système n’a pas été compromis avant son application. En cas d’exposition prolongée, une analyse complémentaire peut donc être nécessaire.

Pourquoi maintenir PHP à jour est indispensable

Dans de nombreuses entreprises, les applications PHP sont des composants essentiels du système d’information. Elles peuvent piloter des processus métier, exposer des API, communiquer avec un ERP ou donner accès à des données sensibles.

Reporter les mises à jour de sécurité augmente le risque, particulièrement lorsque des informations techniques sur les failles sont publiques et que des outils d’exploitation deviennent disponibles.

Pour limiter cette exposition, plusieurs bonnes pratiques sont essentielles :

• Maintenir une cartographie des installations PHP, de leurs versions et de leurs usages.

• Assurer une veille régulière sur les vulnérabilités et les bulletins de sécurité des éditeurs.

• Disposer d’un processus de mise à jour réactif, adapté à la criticité des applications.

• Prévoir une stratégie pour les versions anciennes, notamment lorsqu’elles ne bénéficient plus du support officiel.

• Vérifier après intervention que le correctif est effectivement chargé et que les services fonctionnent normalement.

• Contrôler les éventuels signes de compromission lorsqu’une installation a pu être exposée avant sa mise à jour.

Sur IBM i, ces enjeux sont tout aussi importants que sur les environnements Linux ou Windows. La stabilité et la réputation de la plateforme ne dispensent pas de maintenir à jour les composants Open Source qui y sont installés.

CFD-Innovation vous accompagne dans la sécurité de vos environnements PHP

Notre rôle ne se limite pas à développer des applications ou à installer PHP. Nous accompagnons également les entreprises dans le maintien en conditions opérationnelles et de sécurité de leurs environnements.

Avec notre expertise PHP et IBM i, ainsi que notre collaboration avec Seiden Group, nous proposons des solutions de support et d’accompagnement annuel autour de PHP et de l’Open Source sur IBM i.

Cet accompagnement permet notamment de bénéficier d’une veille technique, de conseils adaptés à son environnement et d’un interlocuteur capable de contribuer à la résolution des incidents et à la mise en œuvre des mises à jour nécessaires.

PHP2Shell nous rappelle une chose essentielle : la sécurité ne repose pas uniquement sur la qualité du code développé. Elle dépend aussi de la capacité à surveiller, maintenir et faire évoluer les composants sur lesquels reposent les applications.

Vous utilisez PHP sur IBM i, Linux ou Windows et souhaitez sécuriser vos environnements dans la durée ? CFD-Innovation peut vous accompagner dans votre démarche de support et de maintenance.

  Contactez-nous pour échanger sur vos besoins.

👉 Pour aller plus loin : consultez l’article Seiden Group https://www.seidengroup.com/2026/10/21/critical-security-update-available-in-seiden-php-server/ , bulletin de sécurité officiel du projet PHP et les informations publiées par Plesk sur PHP2Shell.