PHP corrige deux vulnérabilités critiques d'exécution à distance

Contexte et découverte

En 2024, deux failles identifiées sous les références CVE-2026-109618 et CVE-2026-109619 ont été signalées comme non exploitables. Ce n’est qu’en 2026 que les chercheurs de Calif, dans le cadre du programme Hack the Planet, ont démontré une chaîne d’exploitation fonctionnelle, baptisée PHP2Shell. La découverte a déclenché une coordination avec la PHP Foundation, qui a imposé un embargo jusqu’à la publication des correctifs le mercredi même. La portée du problème est liée à l’utilisation de PHP par environ 70 % des sites web publics, incluant WordPress, Drupal, Joomla et MediaWiki.

Mécanisme des vulnérabilités

Les deux CVE permettent une exécution de code à distance (RCE) sans interaction de l’utilisateur et sans authentification préalable. Concrètement, un attaquant peut injecter du code PHP via une requête HTTP spécialement formatée, ce qui conduit le serveur à exécuter des instructions arbitraires. Cette capacité d’accès non authentifié ouvre la porte à l’installation de logiciels malveillants, au vol de données ou à la persistance d’un accès persistant. Le vecteur repose sur une mauvaise validation des entrées dans le moteur d’interprétation, un problème structurel hérité des premières versions du langage.

Réponse de la communauté et correctifs

La PHP Foundation a publié les correctifs le même jour, intégrant des vérifications d’entrée renforcées et désactivant les chemins d’accès exploités. Avant la mise à jour publique, la fondation a fourni les correctifs à un groupe restreint d’opérateurs majeurs, permettant à des acteurs comme Amazon de détecter une exploitation précoce dès le 17 octobre. Amazon a signalé des tentatives d’exploitation une semaine avant la disponibilité officielle des correctifs, suggérant une fuite ou une découverte indépendante. Les gouvernements ont ensuite recommandé la mise à jour immédiate à tous les opérateurs de sites web.

Implications et perspectives

Malgré la diffusion rapide des correctifs, les chercheurs avertissent que de nombreux serveurs restent non mis à jour, maintenant une surface d’attaque importante. Le recours à l’IA dans la phase d’exploitation, bien que limité, montre que les modèles de langage peuvent assister la recherche de chaînes d’exploitation, mais ne remplacent pas l’expertise humaine. Le cas PHP2Shell illustre la vulnérabilité des projets open‑source largement déployés, où les ressources de sécurité sont souvent insuffisantes. Il anticipe également une augmentation du nombre de découvertes similaires à mesure que les outils d’IA s’améliorent, renforçant la nécessité d’une coordination proactive entre chercheurs, mainteneurs et acteurs industriels.