Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts Emerge

1 minute de lecture

Mis à jour :

Vulnérabilités critiques “PHP2Shell” : Urgence de mise à jour

Deux vulnérabilités critiques de type exécution de code à distance (RCE), regroupées sous le nom de PHP2Shell, ont été découvertes dans le moteur PHP. Ces failles permettent à un attaquant non authentifié d’exécuter du code sur un serveur web, indépendamment de la sécurité des applications hébergées. Elles affectent quasiment toutes les versions de PHP depuis la 5.4.

Points clés

  • Gravité : Score CVSS de 9.2 pour les deux vulnérabilités.
  • Risque maximal : Le serveur Apache utilisant mod_php est le plus exposé, l’exploitation pouvant se produire avant même le chargement du code applicatif.
  • Impact étendu : Outre l’exécution de code, les attaquants peuvent potentiellement lire la mémoire des processus, exposant ainsi des mots de passe, des clés API et des jetons d’authentification.
  • Exploitation active : Des tentatives d’exploitation ont été observées peu après la fuite d’informations, poussant l’équipe PHP à publier des correctifs en urgence.
  • Facteur aggravant : L’utilisation d’outils d’intelligence artificielle a permis aux chercheurs de transformer des vulnérabilités dormantes depuis plus d’une décennie en exploits fonctionnels en un temps record.

Vulnérabilités identifiées

  • CVE-2026-109618 : Faille liée à la gestion de la mémoire.
  • CVE-2026-109619 : Faille pouvant être exploitée notamment via le mécanisme de progression d’upload de session (session.upload_progress).

Recommandations

  1. Mise à jour immédiate (seule solution pérenne) : Installez les versions corrigées (8.5.12, 8.4.27, 8.3.36, 8.2.35). Pour les versions obsolètes (7.4, 8.0, 8.1), des backports sont disponibles sur le dépôt officiel PHP. Redémarrez les services (Apache, PHP-FPM, etc.) après l’application du correctif.
  2. Vérification des paquets : Ne vous fiez pas uniquement aux numéros de version des distributions Linux ; vérifiez le journal des modifications (changelog) pour confirmer la présence du correctif lié aux CVE.
  3. Atténuations temporaires (insuffisantes sans mise à jour) :
    • Pour CVE-2026-109618 : Paramétrer memory_limit=-1 et limiter la taille des requêtes (post_max_size).
    • Pour CVE-2026-109619 : Désactiver session.upload_progress.enabled=0.
  4. Audit post-incident : Surveillez les logs pour détecter des requêtes multipart inhabituelles, des erreurs HTTP 500 répétées, des cookies de session anormalement volumineux ou des redémarrages inexpliqués des processus PHP.

Source

Vous pourriez aimer