PHP2Shell : deux failles critiques dans PHP, le BSI alerte

Deux vulnérabilités critiques de l'environnement d'exécution PHP, regroupées sous le nom de « PHP2Shell », ont conduit mercredi de nombreux sites web à se déconnecter par précaution dans le monde entier. L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a émis une alerte de niveau 3 « Orange », le deuxième plus élevé, et recommande, en cas de doute, d'isoler temporairement les serveurs concernés d'internet.

Les failles, référencées CVE-2026-109618 et CVE-2026-109619, obtiennent chacune 9,2 sur l'échelle CVSS. Des administrations finlandaises et néerlandaises, des parties de la BBC, des communes, hôpitaux et universités allemands ont suspendu leurs services.

Une portée considérable

Selon la société de sécurité Wiz, PHP sous-tend environ 70 % des sites web, une estimation non vérifiable de manière indépendante. Le défaut se situant dans l'environnement d'exécution lui-même, WordPress, Drupal, Joomla, Typo3, Magento, Nextcloud ou MediaWiki sont exposés même si leur propre code est irréprochable.

Wiz décrit quatre failles de sécurité mémoire apparentées, remontant à PHP 5.4. Lorsqu'une requête manipulée provoque un débordement de mémoire, PHP interrompt l'opération et libère la mémoire sans effacer complètement les références internes. La requête suivante traitée par le même processus accède alors à une zone contenant du code injecté, un mécanisme dit « use-after-free ». Sans authentification, un attaquant peut exécuter du code à distance ou, comme avec Heartbleed, lire mots de passe, clés d'API et données de session.

La PHP Foundation reconnaît qu'un des défauts avait été repéré en 2024 lors d'un audit de Quarkslab pour la Sovereign Tech Agency, mais il était resté corrigé faute d'accord et de chemin d'attaque connu. Le 11 août 2026, Calif et OpenAI ont démontré une attaque pratique avec GPT-5.6 Sol. Wiz a trouvé la même famille de failles huit jours plus tard, aidé aussi d'une préversion de Gemini 4 Argon de Google Deepmind. Ce qui exigeait des mois de travail manuel prend désormais quelques heures.

Les mesures pour les administrateurs

PHP a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ainsi que des correctifs rétroportés pour les branches 7.4, 8.0 et 8.1, officiellement arrivées en fin de vie. Apache avec mod_php est le plus exposé. Les pare-feu applicatifs, comme ceux de Cloudflare, n'offrent pas de protection complète et les conteneurs Docker doivent être reconstruits.

En solution provisoire, les développeurs proposent session.upload_progress.enabled=0 et memory_limit=-1. Il faut aussi surveiller les journaux pour repérer des erreurs HTTP 500 en rafale et des cookies PHPSESSID anormalement volumineux. Le NCSC-NL néerlandais tient à jour la liste des produits tiers touchés, dont pfSense et OPNsense.