PHP2Shell franchit une étape dans le suivi de la menace : la CISA a ajouté ses deux failles au catalogue des vulnérabilités exploitées le 26 octobre. Pour les serveurs encore non corrigés, le risque documenté n’est donc plus seulement théorique. Les mises à jour de PHP sont disponibles depuis le 21 octobre.
Les deux CVE sont désormais classées comme exploitées
Le Centre canadien pour la cybersécurité confirme cette inscription dans une mise à jour du 27 octobre. Les identifiants concernés sont CVE-2026-109618 et CVE-2026-109619. Les deux vulnérabilités peuvent permettre l’exécution de code à distance sur des installations vulnérables, sans authentification.
Le changement est important pour la priorisation : une faille corrigée mais encore peu documentée et une faille utilisée dans des attaques n’appellent pas la même tolérance au retard. Il ne permet pas d’affirmer que tous les serveurs PHP ont été compromis. L’exposition dépend notamment de la version et de la configuration.
La version PHP du serveur compte davantage que celle du CMS
Pour un site français, une mise à jour du CMS ou d’une extension ne prouve pas que PHP est corrigé. Le moteur serveur suit son propre cycle, souvent géré par l’hébergeur. La version effectivement exécutée et l’application des correctifs sont donc les informations à demander au prestataire.
L’avis canadien donne les versions corrigées par branche : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’alerte européenne du 21 octobre demandait déjà d’identifier les applications concernées et de coordonner les correctifs avec l’hébergeur, en priorité sur les systèmes exposés à Internet.
Menow avait déjà présenté les correctifs du 21 octobre. L’inscription apporte un signal d’exploitation, sans prouver la compromission de chaque serveur vulnérable. Elle renforce la priorité de vérification ; les échéances administratives américaines ne deviennent pas pour autant des obligations identiques en France.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
