Contexte et portée

Le 26 octobre 2026, plus de 70 % des sites web ont dû publier des pages d’erreur après la divulgation de deux failles critiques dans PHP. Ces vulnérabilités touchent toutes les versions de PHP 5.4 et supérieures, soit l’ensemble du socle logiciel de plateformes majeures telles que Drupal, Magento, Joomla et WordPress. Les CVE‑2026‑109618 et CVE‑2026‑109619 sont immédiatement référencés par les bases de données de sécurité, et les fournisseurs d’infrastructure – notamment les sites gouvernementaux européens – ont signalé des interruptions de service dès les premières heures.

Les correctifs d’urgence ont été publiés le même jour, couvrant les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ubuntu a déjà diffusé des paquets mis à jour, tandis que Cloudflare a déployé des règles WAF à 03 h 02 UTC pour bloquer le trafic exploitant les failles.

Mécanisme des vulnérabilités

Les deux bugs permettent une exécution de code à distance (RCE) et, dans certains scénarios, un denial‑of‑service (DoS). L’une des failles réside dans la désérialisation non sécurisée d’objets PHP, où un attaquant peut injecter une chaîne de caractères spécialement formatée pour déclencher l’appel de fonctions internes. La seconde exploite une mauvaise validation des paramètres de configuration, ouvrant la porte à l’injection de code via des variables d’environnement contrôlées par l’utilisateur. Les deux vecteurs nécessitent une chaîne d’étapes complexes, mais les modèles d’IA de pointe ont automatisé la génération de ces chaînes, réduisant ainsi la barrière technique.

Exploitation et impacts observés

Des preuves de compromission ont été relevées par Cloudflare, qui a détecté des requêtes ciblant les signatures d’exploitation dès le déploiement des correctifs. Les attaques observées installent des « web shells » – des panneaux de contrôle web permettant la prise de contrôle totale du serveur. Cette capacité de persistance expose les sites à la fuite de données sensibles et à l’utilisation du serveur comme relais pour des campagnes de phishing ou de distribution de malware. Le parallèle établi par les chercheurs de Wiz avec Log4Shell souligne le potentiel de propagation massive, compte tenu de la présence omniprésente de PHP dans les environnements cloud, CDN et hébergeurs mutualisés.

Réponse et mitigation

La réponse coordonnée a impliqué le projet PHP, l’équipe de sécurité de Cloudflare, le laboratoire Wiz et OpenAI. Tous les acteurs ont validé les correctifs avant la publication publique, limitant ainsi la fenêtre d’exposition. Les administrateurs doivent mettre à jour immédiatement vers les versions corrigées ; les versions antérieures restent vulnérables même après l’application de correctifs partiels. En complément, le déploiement de règles WAF ciblant les payloads spécifiques et la désactivation des fonctions dangereuses (par ex. allow_url_include) sont recommandés. Le SANS Internet Storm Center continue de surveiller les déploiements et publiera des horodatages de mise à jour pour les distributions majeures.