Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Critical RCE vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)

1 minute de lecture

Mis à jour :

Vulnérabilités critiques PHP2Shell : Analyse et mesures de protection

Deux vulnérabilités critiques d’exécution de code à distance (RCE), regroupées sous le nom PHP2Shell, ont été identifiées dans le cœur de PHP. Ces failles permettent à un attaquant non authentifié de prendre le contrôle d’un serveur via des requêtes réseau malveillantes exploitant le mécanisme session.upload_progress.

Points clés

  • Nature des failles : Use-after-free et corruption mémoire liées à la gestion des requêtes multipart/form-data.
  • Impact : Exécution arbitraire de code (RCE) sans authentification.
  • Périmètre : Toutes les versions de PHP depuis la 5.4.0. Des correctifs ont été publiés pour les versions supportées ainsi que pour les versions obsolètes 7.4, 8.0 et 8.1.
  • Exploitation : L’exploit a été divulgué publiquement, rendant le risque d’exploitation immédiat pour de nombreuses plateformes (WordPress, Drupal, Magento, Laravel, etc.).

Vulnérabilités identifiées

  • CVE-2026-109618 (Score CVSS 9.2)
  • CVE-2026-109619 (Score CVSS 9.2)

Recommandations pour les administrateurs

  1. Mise à jour immédiate : Appliquer les correctifs officiels de PHP dès que possible.
  2. Désactivation temporaire : Désactiver le suivi de progression des téléversements en définissant session.upload_progress.enabled = Off dans les configurations PHP-FPM.
  3. Filtrage : Bloquer ou restreindre les requêtes multipart au niveau des serveurs web (Nginx/Apache).
  4. Inventaire et isolation : Identifier tous les systèmes PHP exposés sur Internet et envisager leur isolation temporaire.
  5. Migration : Planifier impérativement la migration des serveurs tournant sous des versions obsolètes (PHP 8.1 et antérieures) vers une branche supportée.

Source

Vous pourriez aimer