Les vulnérabilités PHP2Shell permettent de prendre le contrôle d'un serveur web sans authentification : la CISA, la NSA et le FBI appellent à appliquer immédiatement un correctif ou à éteindre les serveurs

WASHINGTON

Deux vulnérabilités critiques permettant l’exécution de commandes sur des serveurs sans authentification préalable ont été découvertes dans PHP, un langage de programmation largement utilisé pour les sites web et les serveurs d’applications web, incitant l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA), la National Security Agency (NSA) et le Federal Bureau of Investigation (FBI) à appeler successivement à un déploiement immédiat de correctifs. Du 21 au 23 octobre (heure des États-Unis), les trois agences ont signalé les vulnérabilités CVE-2026-109618 et CVE-2026-109619 au moyen d’alertes, de communiqués de presse et d’un avis d’intérêt public (PSA). Toutes trois ont également recommandé aux organisations dans l’incapacité de procéder à une mise à jour immédiate de mettre les systèmes concernés hors ligne.

La CISA indique que les vulnérabilités « php2shell » permettent l’exécution de code à distance sans authentification

Dans une alerte publiée le 21 octobre, la CISA a indiqué que ces deux failles, surnommées « php2shell », permettent l’exécution de code à distance sans authentification au sein de PHP. Toutes les installations de PHP traitant des requêtes web sont touchées. La CISA a cité en exemple la combinaison d’Apache et de mod_php, ainsi que PHP-FPM, php-cgi, FrankenPHP et LiteSpeed. Parmi celles-ci, l’association avec mod_php a été classée au niveau de risque le plus élevé par les responsables de PHP, a ajouté la CISA.

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. La CISA a déclaré que les organisations doivent impérativement passer sans attendre à ces versions. Toutefois, la CISA a précisé qu’au moment de la publication de l’alerte, aucune attaque réussie exploitant ces failles dans la nature n’avait été observée. Le compte CISA Cyber a mentionné le même jour sur X les identifiants des deux vulnérabilités en avertissant les organisations de l’obligation d’appliquer les correctifs immédiatement.

La CISA a mis à jour son alerte le 23 octobre. Elle y a ajouté des règles de détection SIGMA visant à repérer les activités suspectes et a intégré les contributions d’organismes partenaires. Ces documents partenaires comprennent des recommandations du Centre national de cybersécurité du Royaume-Uni, du Centre australien de cybersécurité rattaché à l’Australian Signals Directorate, du Centre national de cybersécurité de Nouvelle-Zélande, du Centre canadien pour la cybersécurité et du Centre national de cybersécurité des Pays-Bas.

Le même jour, la NSA a également émis une alerte par l’intermédiaire d’un communiqué de presse distinct.

La NSA prévient que les cyberacteurs risquent fort d’arsenaliser ces vulnérabilités

Dans un communiqué de presse du 21 octobre, la NSA a indiqué que les développeurs de PHP avaient mis à disposition des correctifs open source ce jour-là (mercredi). La NSA a rappelé que PHP (abréviation de « PHP: Hypertext Preprocessor ») fonctionne sur la plupart des grands systèmes d’exploitation, s’exécute directement sur les serveurs web et s’intègre au code HTML pour générer des pages web dynamiques. Compte tenu de son utilisation omniprésente, la NSA a souligné que cette faille crée un terrain propice à l’exploitation. L’agence a attribué à cet ensemble de failles le qualificatif de « PHP2Shell » et a affirmé faire de l’identification des cyberacteurs malveillants cherchant à les exploiter une priorité absolue.

La NSA a précisé qu’un assaillant pouvait prendre le contrôle des serveurs web concernés sans accès préalable ni authentification. Par ce biais, un individu malveillant pourrait dérober des données sensibles, perturber des services ou pivoter plus en profondeur dans le réseau, a ajouté la NSA. L’agence a fait valoir que ces vulnérabilités constituent un défaut inhérent à PHP lui-même, et non aux applications hébergées ou à leur configuration, laissant ainsi les serveurs exécutant les versions de PHP affectées exposés aux attaques.

Chargée de la sécurité nationale des États-Unis, la NSA a déclaré que « les cyberacteurs sont susceptibles d’arsenaliser les vulnérabilités PHP2Shell ». Face à la gravité du risque, elle a jugé indispensable l’application immédiate de correctifs dans l’ensemble des ministères et agences du gouvernement fédéral américain. La NSA a recommandé de redoubler de vigilance au cours des prochaines semaines concernant les équipements et services exposés à Internet reposant sur PHP, de renforcer la journalisation et de remplacer les services PHP en fin de vie (EOL) incompatibles avec les correctifs. Le compte de cybersécurité de la NSA a également relayé cet avis sur X le même jour.

Dans ce message, la NSA a fait remarquer que ces vulnérabilités ouvrent fréquemment un accès direct au système de fichiers ou à la base de données du serveur. Elle a préconisé de déconnecter les systèmes si une mise à jour immédiate s’avère impossible, tout en annonçant la publication imminente de directives détaillées.

La NSA a conseillé de suivre de près les mises à jour, observant que d’autres éditeurs de logiciels pourraient publier des correctifs dès qu’ils seraient prêts, et a indiqué que les instructions d’atténuation les plus récentes sont consultables sur la page des avis de sécurité des développeurs de PHP. La NSA a affirmé qu’elle collaborerait avec les spécialistes de la communauté du renseignement et de la CISA afin d’identifier et de corriger les vulnérabilités touchant les systèmes gouvernementaux et de sécurité nationale.

La CISA exige un recensement exhaustif de tous les systèmes utilisant PHP

La CISA a tout d’abord exigé des organisations qu’elles recensent l’ensemble des systèmes exécutant PHP dans leur environnement. PHP étant fréquemment intégré à d’autres logiciels, sa présence peut ne pas être évidente au premier abord, a précisé la CISA. L’agence a ensuite insisté sur l’urgence de corriger en priorité les systèmes exposés à Internet. Les organisations dans l’incapacité d’appliquer immédiatement les mises à jour ou continuant d’utiliser des versions de PHP 8.1 ou antérieures qui ne sont plus prises en charge doivent mettre leurs systèmes fondés sur PHP hors ligne jusqu’à l’achèvement des correctifs ou de la mise à niveau.

La CISA a invité à consulter les avis de sécurité officiels des développeurs de PHP afin de prendre connaissance des consignes d’application des correctifs. L’agence a souligné qu’un pare-feu pour applications web (WAF) pouvait offrir une protection partielle dans l’attente de la mise à jour des systèmes. La CISA a également recommandé de surveiller toute activité suspecte, telle que des processus de travail PHP exécutant des interpréteurs de commandes (shells) ou téléchargeant des outils.

Le FBI a diffusé le 23 octobre l’avis d’intérêt public I-102326-PSA, faisant suite à une publication sur les réseaux sociaux le 21 octobre. Le FBI a rappelé que PHP est un langage de programmation très répandu qui fait fonctionner des sites et applications web, et que ces deux vulnérabilités pourraient permettre à des cyberacteurs malveillants d’exécuter du code à distance au cœur du moteur PHP, mettant ainsi en danger des données sensibles et des réseaux entiers. La division cyber du FBI (FBI Cyber Division) avait partagé cette information sur X le 21 octobre.

Le FBI a indiqué que les mises à jour de sécurité sont d’ores et déjà disponibles et doivent être appliquées immédiatement. Lors du recensement des installations de PHP, le FBI a préconisé d’accorder la priorité aux systèmes exposés à Internet ainsi qu’aux produits tiers intégrant PHP, et de surveiller si des processus PHP sur les serveurs web lancent de manière inattendue des interpréteurs de commandes ou téléchargent des fichiers. Le FBI a précisé que les informations les plus récentes se trouvent dans les avis des développeurs de PHP, dans l’avis de sécurité 2026-018 du CERT-EU de l’Union européenne ainsi que dans le catalogue des vulnérabilités exploitées connues (KEV) de la CISA. Le FBI a appelé les entreprises et les administrateurs de sites web à vérifier si leurs systèmes sont concernés. En cas de détection de signes de compromission, l’agence a instamment demandé d’isoler les systèmes affectés, de conserver les journaux d’événements du serveur web et de PHP, puis de signaler l’incident au bureau local du FBI ou sur ic3.gov. Le FBI a souligné que ces signalements aident les services d’enquête à identifier les auteurs et à alerter d’autres organisations avant qu’elles ne subissent des dommages.

Sources (KST)

• CISA (États-Unis), « Critical Vulnerabilities in PHP Require Immediate Patching » (publié le 21 octobre 2026, mis à jour le 23 octobre) : https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• National Security Agency (NSA, États-Unis), « NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities » (21 octobre 2026) : https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Federal Bureau of Investigation (FBI, États-Unis), « Critical Vulnerability Alert: PHP Core » (Avis d’intérêt public I-102326-PSA, 23 octobre 2026) : https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Publication X du compte CISA Cyber : https://x.com/CISACyber/status/2112947079458717969
• Publication X du compte de cybersécurité de la NSA : https://x.com/NSACyber/status/2112903220209098897
• Publication X de la division cyber du FBI : https://x.com/FBICyberDiv/status/2112921648252719420