Steven Lafortune
David GrandolfoLe 21 octobre 2026, le projet PHP a publié des mises à jour d’urgence pour deux vulnérabilités critiques, regroupées sous le nom PHP2Shell. Elles peuvent permettre à une personne qui n’est pas connectée d’exécuter du code sur un serveur qui utilise PHP pour répondre aux requêtes web. Wiz Research, qui a signalé les failles avec Calif et OpenAI, estime que PHP propulse environ 70 % des sites web, dont WordPress, Joomla, Drupal et MediaWiki.
David Grandolfo, coordonnateur en sécurité défensive, a un message direct pour les clients Devolutions : nos produits SaaS ne sont pas touchés par PHP2Shell.
Nous comprenons que les nouvelles au sujet de vulnérabilités critiques peuvent inquiéter, surtout lorsqu’elles touchent des technologies utilisées par des millions de sites web dans le monde. Nous avons toutefois une bonne nouvelle pour les clients Devolutions : nos produits et services ne sont pas touchés par PHP2Shell.
La raison est simple : nous n’utilisons pas PHP dans nos produits ni dans notre infrastructure. Ces vulnérabilités précises n’ont donc pas d’effet sur les solutions Devolutions.
Notre équipe de sécurité surveille en continu les menaces émergentes et évalue leur effet possible sur nos produits et services. Dans ce cas, les clients peuvent être rassurés : aucune mise à jour supplémentaire, aucun changement de configuration et aucune action de leur part ne sont nécessaires pour PHP2Shell.
Les organisations qui utilisent PHP doivent appliquer les mises à jour de sécurité dès que possible. Les clients Devolutions peuvent continuer d’utiliser nos solutions en toute confiance.
Ce qu’est PHP2Shell
Les deux failles sont CVE-2026-109618 et CVE-2026-109619. L’avis de sécurité PHP indique que les deux peuvent permettre une exécution de code à distance sans authentification. Elles touchent les installations PHP qui répondent à des requêtes web, dont PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. L’équipe de sécurité PHP précise que le risque est le plus élevé avec mod_php, où une requête peut atteindre la faille avant que le code de l’application du site ne s’exécute.
Google Cloud décrit le score CVSS de base officiel comme 9,2 (critique) pour chaque faille, et liste les versions touchées, de PHP 5.4 à 8.5.11. Wiz rapporte la même plage : presque chaque version de PHP des dix dernières années est touchée par au moins l’une des failles. Les bogues sont dans le moteur PHP, donc une application soignée sur un environnement d’exécution non corrigé reste exposée. Wiz indique aussi que le code vulnérable était dans PHP depuis plus de dix ans, et que des outils d’IA ont rendu possible de démontrer les bogues et d’aider à les corriger.
BleepingComputer rapporte que Cloudflare voyait déjà des tentatives d’attaque précoces au moment de la publication des correctifs, et qu’un filtrage temporaire ne remplace pas la mise à jour. Le même article note un avertissement du National Cyber Security Centre du Royaume-Uni : mettez à jour les systèmes qui utilisent PHP, ou mettez-les hors ligne jusqu’à ce qu’ils puissent être corrigés.
Quoi installer
Le projet PHP indique qu’il n’existe aucune mesure d’atténuation complète. La mise à jour est le seul choix sûr. Installez l’une de ces versions :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les distributions Linux et les éditeurs de support à long terme ont reçu les correctifs avant la publication publique. Vérifiez donc auprès de votre éditeur si des paquets mis à jour sont offerts. PHP 8.1 et les versions plus anciennes ne reçoivent plus de mises à jour du projet PHP. Certains éditeurs rétroportent les correctifs. Si vous êtes sur ces versions, contactez votre éditeur ou passez à une version prise en charge. Pour les personnes qui compilent à partir du code source, l’équipe de sécurité PHP a aussi publié des rétroportages minimaux du code source pour PHP 7.4, PHP 8.0 et PHP 8.1.
L’avis décrit quelques mesures temporaires pour les équipes qui ne peuvent pas mettre à jour aujourd’hui. PHP est explicite : ces mesures ne rendent pas une installation sûre.
Si vous exploitez PHP vous-même
Les produits et services Devolutions n’utilisent pas PHP, donc rien ne change de ce côté. Cet avis ne couvre pas un site PHP que vous exploitez vous-même : un site web public, un intranet ou un système de gestion de contenu. Si c’est dans votre environnement, traitez-le comme un travail à part et mettez PHP à jour selon la liste ci-dessus.