# PHP2Shell : deux failles PHP critiques, un embargo qui a fuité, et ce que l'on sait réellement sur l'exploitation

Published: 2026-10-22

PHP a livré des correctifs d'urgence pour deux failles critiques d'exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, appelées PHP2Shell. La version est sortie le 21 octobre 2026. L'épisode explique les deux bogues de mémoire en termes simples, pourquoi un indice d'un audit de 2024 a attendu une correction, comment l'embargo a fui, et quelles sources disent quoi sur l'exploitation. Il couvre également la publication critique de correctifs de GitLab le même jour et une ordonnance de pénalité de 25 milliards de dollars Meta au Nouveau-Mexique.

Canonical: https://thedailydiff.dev/fr-CA/video/2026-10-22-php2shell/

## Ce que cette vidéo couvre

- Les deux failles sont évaluées à 9,2 sur CVSS v4.0 par l'équipe PHP. Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12 ; PHP 7.4, 8.0 et 8.1 n'ont reçu que des correctifs sources. PHP affirme que la mise à jour est la seule atténuation complète.
- La première faille provient du fait que PHP laisse une requête à moitié construite lorsqu'il manque de mémoire au mauvais moment. La seconde provient d'un pointeur restant vers la mémoire d'une requête qu'une requête ultérieure dans le même travailleur peut utiliser. Sur Apache avec mod\_php, le premier chemin s'exécute avant le code de l'application.
- Un développeur de base de PHP a trouvé les premiers signes du problème de mémoire lors d'un audit de 2024. La Fondation PHP affirme que les correctifs concurrents avaient des compromis et qu'une équipe de sécurité basée sur le consensus a eu du mal à choisir, ce qu'elle qualifie de défaillance structurelle.
- La Fondation affirme que les identifiants CVE ont fuité le 20 octobre, Calif a publié par erreur une vidéo de preuve de concept, et Chainguard a publié des images construites avec le correctif plus de six heures avant la publication. Le PDG de Chainguard affirme que des personnes étaient déjà touchées et qu'il a trouvé les bogues indépendamment.
- Les sources ne sont pas d'accord sur l'exploitation. Amazon a enregistré une tentative le 17 octobre et a déclaré plus tard que PHP2Shell était largement exploité. watchTowr a signalé une exploitation en cours. CISA n'avait pas observé d'exploitation au moment de la publication, et l'équipe PHP n'a trouvé aucun exploit fonctionnel lors de la publication. De nombreux scripts de preuve de concept publics sont signalés comme ne fonctionnant pas.
- Vérifiez chaque endroit où PHP s'exécute, y compris les copies à l'intérieur d'autres logiciels, mettez à jour, redémarrez les travailleurs et examinez les journaux remontant au 17 octobre.

## Questions et réponses

### Quelles sont les deux vulnérabilités PHP2Shell?

PHP2Shell désigne deux failles PHP critiques, CVE-2026-109618 et CVE-2026-109619, toutes deux évaluées à 9,2 par l'équipe PHP. La première laisse une requête à moitié construite lorsque PHP manque de mémoire au mauvais moment, et le nettoyage lui fait alors confiance. La seconde laisse un pointeur vers la mémoire d'une requête qu'une requête ultérieure dans le même processus peut utiliser. Les deux peuvent entraîner une exécution de code sans connexion.

### Quelles versions de PHP ont un correctif pour PHP2Shell, et qu'en est-il des versions non prises en charge?

Le projet PHP a publié des correctifs dans les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12 le 21 octobre. Pour les versions 7.4, 8.0 et 8.1, il n'a publié que des correctifs sources, et BleepingComputer rapporte que les distributions et les fournisseurs de support à long terme peuvent fournir des correctifs rétroportés. PHP affirme qu'il n'y a pas de solution de contournement complète, donc la mise à jour ou la demande d'un package corrigé à un fournisseur est le seul choix sûr.

### Pourquoi un bogue de mémoire PHP connu a-t-il pris jusqu'en octobre 2026 pour être corrigé?

La Fondation PHP affirme qu'un développeur principal a trouvé les premiers signes du problème de mémoire lors d'un audit de sécurité de 2024, mais aucune voie d'exploitation n'était connue et chaque correctif candidat avait des compromis tels que des ruptures de compatibilité. L'équipe de sécurité décide par consensus et a eu du mal à choisir, ce que la Fondation qualifie d'échec structurel causé par son processus de décision et le manque de ressources.

### PHP2Shell est-il exploité, et est-il facile de l'exploiter?

Les sources ne sont pas d'accord. Amazon a enregistré une tentative d'exploitation le 17 octobre et a déclaré plus tard que PHP2Shell était largement exploité, et watchTowr a signalé une exploitation en cours. La CISA n'avait pas observé d'exploitation au moment de la publication, et l'équipe PHP n'a vu aucun exploit fonctionnel lors de la publication. watchTowr affirme que la plupart des scripts d'exploitation publics plantent ou ne font rien, et VulnCheck a constaté que l'exécution de code ne fonctionne que dans certaines configurations.

### Quel a été le verdict de The Daily Diff sur PHP2Shell?

Le verdict de The Daily Diff était SHIP IT : expédiez la mise à jour PHP ce soir, car la nouvelle version est le seul correctif complet. La CISA recommande d'inventorier tous les systèmes exécutant PHP, y compris les copies contenues dans d'autres logiciels, d'appliquer le correctif et de mettre les systèmes PHP hors ligne s'ils ne peuvent pas être mis à jour. Amazon conseille de revoir les journaux jusqu'au 17 octobre, date de la première tentative.

## Chapitres

- 0:00 Qui a essayé PHP2Shell quatre jours plus tôt?
- 0:41 Quels sont les deux bogues PHP2Shell?
- 1:37 Pourquoi un bogue connu a-t-il attendu deux ans?
- 1:54 Qui a trouvé PHP2Shell et comment?
- 2:20 Comment l'embargo PHP2Shell a-t-il fuité?
- 2:50 PHP2Shell est-il exploité, et par qui?
- 3:43 Qu'est-ce que les gouvernements ont mis hors ligne?
- 4:11 Quelles versions de PHP reçoivent un correctif?
- 4:30 Que faites-vous de PHP2Shell ce soir?
- 4:45 Quoi d'autre a livré un correctif RCE critique aujourd'hui?
- 5:01 Pourquoi Meta a-t-il été condamné à payer 25 milliards de dollars?
- 5:18 Quelle est la défense de Chainguard pour le correctif précoce?
- 5:38 Qu'est-ce qui reçoit le sceau SHIP IT?

## Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube.

### Qui a essayé PHP2Shell quatre jours plus tôt?

0:00 Un embargo de sécurité est censé garder un bogue secret jusqu'à ce que le correctif soit publié. Amazon a enregistré une tentative contre le bogue critique de PHP quatre jours plus tôt. Dans cette vidéo, qui l'a trouvé? Comment l'embargo a-t-il fuité? Et à quel point est-ce grave, vraiment? Et l'entreprise blâmée pour la fuite a une défense à laquelle je ne m'attendais pas. J'y reviendrai. Nous sommes le jeudi 22 octobre, et c'est The Daily Diff.

0:21 PHP est un langage de script qui construit des pages web sur le serveur juste avant qu'elles ne vous parviennent. Il a plus de trente ans et, selon une estimation, fait fonctionner environ soixante-dix pour cent des sites web, y compris WordPress et le logiciel derrière Wikipédia. Les développeurs adorent s'en moquer, généralement depuis une page que PHP leur sert. Son entretien est une organisation à but non lucratif avec environ treize ingénieurs.

### Quels sont les deux bogues PHP2Shell?

0:41 Mercredi, PHP a publié des correctifs d'urgence pour deux failles critiques qui permettent à un étranger d'exécuter du code sur un serveur sans connexion. Ensemble, elles sont appelées PHP2Shell, et elles remontent à PHP cinq point quatre. Voici le premier bogue en termes simples. PHP attribue un budget mémoire à chaque requête. Si une requête atteint cette limite au moment exactement le plus inopportun, PHP se retire rapidement et laisse la requête à moitié construite. Ensuite, l'étape de nettoyage fait confiance à l'objet à moitié construit.

1:07 Le deuxième bogue est un vestige. Une erreur fatale peut laisser une note pointant vers une mémoire qui appartenait à la dernière requête. Le même travailleur gère la requête suivante et suit la note. À ce moment-là, quelqu'un d'autre vit à cette adresse. Sur Apache avec mod PHP, les dégâts se produisent avant l'exécution de votre propre code, donc votre page de connexion n'a jamais son mot à dire. Wiz affirme que même un script "hello world" est exposé. Le correctif supprime la sortie d'urgence de PHP en cas de manque de mémoire.

1:32 Au lieu de s'arrêter au milieu d'une requête, PHP s'arrête maintenant poliment au prochain point sûr. Le plus étrange, c'est l'ancienneté du premier indice.

### Pourquoi un bogue connu a-t-il attendu deux ans?

1:39 En 2024, un audit de sécurité externe a conduit un développeur principal de PHP aux premiers signes du problème de mémoire. Aucun exploit n'était connu, et chaque correctif cassait quelque chose. Une équipe qui décide par consensus ne pouvait pas choisir, donc le bogue a attendu. Puis en août, les découvreurs sont arrivés en quelques jours.

### Qui a trouvé PHP2Shell et comment?

1:56 Le chercheur Ryan Austin de Calif l'a trouvé le premier août, travaillant dans le cadre du programme Patch the Planet d'OpenAI. OpenAI a signalé la même cause profonde indépendamment. Wiz a trouvé des variantes quelques semaines plus tard avec les modèles Gemini et GPT. Austin dit qu'il a utilisé des modèles que tout le monde peut obtenir, plus une théorie sur l'endroit où les vieux bogues de PHP se cachent. OpenAI dit que l'IA de pointe était la clé. Le bogue était caché depuis plus d'une décennie. La publication était prévue pour jeudi.

### Comment l'embargo PHP2Shell a-t-il fuité?

2:21 Mardi, les deux numéros CVE ont commencé à circuler en ligne, avec une heure de publication et un score de dix erronés. PHP a avancé la publication d'un jour. Ce soir-là, Calif a accidentellement publié une vidéo de sa preuve de concept en fonctionnement, et des copies ont survécu à la suppression. Mercredi matin, plus de six heures avant la publication, Chainguard a publié des images compilées contenant le correctif. PHP affirme que tout attaquant pouvait étudier ce correctif pendant que tout le monde attendait.

2:46 Un correctif est aussi un diff, et les attaquants lisent les diffs.

### PHP2Shell est-il exploité, et par qui?

2:50 Alors, qui est réellement touché? Le pot de miel d'Amazon a enregistré une tentative le 17 octobre et a déclaré plus tard que PHP2Shell est largement exploité. watchTowr signale une exploitation en cours. La CISA a déclaré n'en avoir observé aucune lors de sa publication, et l'équipe de PHP n'a vu aucun exploit fonctionnel lors de la publication. Le PDG de Cloudflare a déclaré avoir vu des milliers de tentatives dans les dix heures précédant l'annonce, et des millions d'ici jeudi matin.

3:13 Amazon est prudent sur un point. Elle ne sait pas si ses premières tentatives auraient fonctionné sur un système réel. Une tentative n'est qu'un coup à la porte. Alors, à quel point est-ce grave, vraiment? watchTowr affirme que les exploits publics qui circulent plantent ou ne font rien la plupart du temps. VulnCheck dit que l'exécution de code fonctionne dans certaines configurations, et aucune des configurations publiques ne surmonte l'aléation de la mémoire sur les serveurs x86 standard. Le chercheur Elias Taylor dit que ce n'est pas aussi facile que Log4Shell.

3:40 Tout le monde dit toujours de patcher. Les gouvernements n'ont pas attendu le verdict.

### Qu'est-ce que les gouvernements ont mis hors ligne?

3:44 La NSA a conseillé aux organisations qui ne pouvaient pas patcher de mettre les systèmes PHP hors ligne, et le Centre national de cybersécurité du Royaume-Uni a donné un avis similaire. Des sites néerlandais, y compris le service national d'identité numérique, ont été mis hors service, ainsi qu'un site de la police de Paris. Wikimedia a mis plusieurs systèmes hors ligne par précaution. Palo Alto Networks a compté plus de vingt-deux millions d'instances exposées. Et un professeur australien a fait la remarque la plus pertinente. Les sites dont il faut s'inquiéter sont ceux qui ne sont pas hors ligne aujourd'hui.

### Quelles versions de PHP reçoivent un correctif?

4:11 Des correctifs existent pour PHP huit point deux à huit point cinq. Pour sept point quatre, huit point zéro et huit point un, PHP a publié uniquement des correctifs sources. Les versions plus anciennes ne reçoivent rien du projet PHP, alors demandez à votre distribution. Les solutions de contournement réduisent les risques, mais PHP affirme que la mise à jour est la seule solution complète. C'est la même leçon que l'épisode eMudhra d'hier,

### Que faites-vous de PHP2Shell ce soir?

4:32 car l'existence d'un correctif n'est pas la même chose que le processus en cours d'exécution qui l'a. Trouvez chaque PHP dans votre pile, même les copies cachées dans d'autres logiciels. Mettez à jour, redémarrez les workers et vérifiez les journaux jusqu'au 17 octobre. Le même jour, GitLab a publié un correctif critique,

### Quoi d'autre a livré un correctif RCE critique aujourd'hui?

4:47 dix-neuf point cinq point un. Un dépassement d'entier dans son compilateur d'expressions régulières permet à un utilisateur non authentifié d'exécuter du code sur le serveur, et il obtient un score de dix sur dix. GitLab.com est déjà patché. Les installations auto-gérées nécessitent la mise à jour.

### Pourquoi Meta a-t-il été condamné à payer 25 milliards de dollars?

5:01 Pendant ce temps, au Nouveau-Mexique, un juge a ordonné à Meta de payer vingt-cinq milliards de dollars en pénalités pour l'affaire Cambridge Analytica. Le jury a compté plus de quarante-trois millions de violations à raison de cinq mille dollars chacune, ce qui a représenté environ deux cent vingt milliards avant que le juge ne le réduise. Meta affirme qu'elle gagnera en appel. Maintenant, la défense que j'ai promise.

### Quelle est la défense de Chainguard pour le correctif précoce?

5:19 Le PDG de Chainguard a déclaré au Register qu'il avait lui-même trouvé les mêmes bogues un vendredi soir, après avoir appris que quelque chose se préparait dans PHP, avec une simple invite pour trouver de mauvaises vulnérabilités. Il dit qu'il a livré tôt parce que des gens étaient déjà touchés. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception chaque matin, gratuitement sur the daily diff dot dev, lien ci-dessous. Donc, le verdict d'aujourd'hui est SHIP IT.

### Qu'est-ce qui reçoit le sceau SHIP IT?

5:39 Expédiez la mise à jour PHP ce soir, car le nouveau numéro de version est la seule solution complète. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

## Sources

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News