PHP : correctif critique attendu aujourd'hui à 16 h (heure de Paris) pour deux failles d'exécution de code

Le 20 octobre au soir, l'équipe sécurité de PHP a annoncé une version de sécurité exceptionnelle, publiée le mercredi 21 octobre 2026 à 14:00 UTC (16:00 à Paris). Elle corrige deux vulnérabilités notées 9.2 (critique) en CVSS v4.0. L'annonce fait suite à une fuite : les chercheurs de watchTowr indiquent qu'il s'agit d'exécution de code à distance. Les chercheurs ont surnommé le couple « php2shell ».

Les identifiants CVE-2026-109618 et CVE-2026-109619 sont repris par le CERT-FR (alerte CERTFR-2026-ALE-014, 21 octobre) ; l'avis de PHP lui-même ne les nomme pas encore et les versions corrigées ne sont pas confirmées officiellement.

Qui est concerné ?

Toutes les installations PHP, en priorité celles exposées sur Internet : PHP-FPM des vhosts Apache/Nginx, PHP fourni par Plesk (/opt/plesk/php/*) et les paquets php8.x de Debian. Seules les branches maintenues (8.2, 8.3, 8.4, 8.5) recevront un correctif ; les versions 8.1 et antérieures n'en auront pas.

Risque

Exécution de code à distance. Le CERT-FR ne mentionne pas d'exploitation ; en revanche, le directeur technique de Cloudflare évoque des « premières attaques » (non confirmé par un avis officiel ni par le catalogue CISA KEV) et du code d'exploitation non vérifié circule : ne l'exécutez pas. L'expérience de CVE-2024-4577 (exploitée en moins de 24 h) impose de patcher dans la journée.

Calendrier de disponibilité

Préparer dès maintenant

Inventorier les versions installées sur chaque serveur :

# Debian
dpkg -l 'php*' | awk '/^ii/ {print $2, $3}' | grep -E '^php[0-9.]+-(fpm|cli|cgi) '
# Plesk
plesk bin php_handler --list
ls /opt/plesk/php/

Corriger (dès la sortie des paquets)

# Debian
apt update && apt install --only-upgrade 'php8.*'
systemctl restart 'php*-fpm'

# Plesk
plesk installer --select-product-id plesk --select-release-current --upgrade-installed-components

Contournement

Le seul remède est la mise à jour. Mesures partielles recommandées par le CERT-FR en attendant (elles ne couvrent qu'une des deux failles) : désactiver le suivi de progression d'upload et bloquer ou surveiller les requêtes multipart.

; php.ini
session.upload_progress.enabled = Off
; pool PHP-FPM
php_admin_flag[session.upload_progress.enabled] = off

Aucun contournement officiel complet. Pour les serveurs restés sur une branche non maintenue, CERT-EU recommande d'isoler les applications exposées (VPN, WAF, mise hors ligne) jusqu'à la migration.

Vérifier

Surveiller les processus lancés par PHP : un shell, curl ou wget enfant de php-fpm, apache2 ou httpd doit déclencher une alerte. Cette fiche sera mise à jour à la publication des versions corrigées, puis à chaque disponibilité chez Debian et Plesk.