PHP2Shell : deux vulnérabilités critiques découvertes dans PHP

Le 20 octobre 2026, deux failles majeures ont été découvertes dans PHP : CVE-2026-109618 et CVE-2026-109619. Regroupées sous le nom de PHP2Shell, elles permettent l’exécution de code à distance sur les logiciels vulnérables, entraînant des mesures préventives dans plusieurs organisations.

En effet, PHP, créé en 1994 par Rasmus Lerdorf, compte parmi les langages de programmation web les plus utilisés dans le monde, même à ce jour: le site W3Techs, spécialisé dans les statistiques liées au Web, nous indique que, pour des sites sur lesquels le langage de programmation côté serveur est connu, 69,3 % utilisent PHP. Cette proportion atteint 59,3 % parmi le top 1 000 des sites les plus populaires au monde.¹

Ce langage est notamment utilisé par des systèmes de gestion de contenu (CMS) très populaires, comme WordPress, Drupal ou Joomla, ainsi que sur des plateformes de commerce en ligne comme Magento ou PrestaShop. A noter, la présence de vulnérabilité dépend de la version de PHP utilisée par ces derniers.

Des mesures de prévention à grande échelle

Le 21 octobre 2026, l’ANSSI (Agence nationale de la sécurité des systèmes d'information) publie un bulletin d’alerte² et demande la mise en maintenance préventive de différents sites administratifs français, incluant plusieurs sites de préfectures, comme celles de la Côte-d’Or, du Rhône ou encore de la Gironde, le site de la CNIL (Commission nationale de l'informatique et des libertés) ou encore le site des impôts.

Site de la préfecture de Côte-d'Or

En dehors de France, la situation reste la même : de nombreux sites, publics et privés, restent inaccessibles, comme par exemple le portail gouvernemental des Pays-Bas Overheid.nl, le SPF Affaires étrangères de Belgique, ou le site de partage de vidéos japonais Niconico.

Portail gouvernemental des Pays-Bas

Une vulnérabilité aux conséquences potentiellement plus étendues

Comme montré précédemment, ces deux vulnérabilités touchent un grand nombre de sites web. Certaines organisations ont même choisi de mettre leur site en maintenance pour limiter les risques. Cependant, il est important de souligner qu’elles peuvent concerner un nombre encore plus conséquent de sites Web : l’ANSSI précise que les versions concernées sont les suivantes :

• PHP toutes versions 5.x

• PHP toutes versions 6.x

• PHP toutes versions 7.x

• PHP toutes versions 8.0.x

• PHP toutes versions 8.1.x

• PHP versions 8.2.x antérieures à 8.2.35

• PHP versions 8.3.x antérieures à 8.3.36

• PHP versions 8.4.x antérieures à 8.4.27

• PHP versions 8.5.x antérieures à 8.5.12

Au-delà des sites web traditionnels, ces vulnérabilités sont susceptibles de concerner des équipements et logiciels intégrant PHP, notamment certaines interfaces d'administration de NAS, de solutions réseau ou de systèmes embarqués. Leur exposition dépend toutefois des composants et versions utilisés, et doit être confirmée auprès des constructeurs.

Il est donc recommandé de vérifier les versions de PHP utilisées, appliquer les correctifs disponibles et de consulter les avis de sécurité des fabricants concernant ces vulnérabilités.

Sources :

1. W3Techs, Comparison of the usage statistics of PHP for websites, https://w3techs.com/technologies/comparison/pl-php (21 octobre 2026)

2. CERT-FR, Multiples vulnérabilités dans PHP, https://cert.cyber.gouv.fr/alerte/CERTFR-2026-ALE-014 (21 octobre 2026)
   

Crédits :

1. Bannière de l'article: https://www.php.net/download-logos.php