Failles PHP exploitées activement : CVE-2026-109618 et CVE-2026-109619 au catalogue CISA KEV

Après les alertes de la semaine dernière sur PHP, deux vulnérabilités critiques sont confirmées comme exploitées : CVE-2026-109618 et CVE-2026-109619, parfois regroupées sous le nom « PHP2Shell ». La CISA les a ajoutées à son catalogue KEV (Known Exploited Vulnerabilities) le 26 octobre 2026, avec une échéance de correction au 29 octobre pour les agences fédérales américaines. Ce n'est plus une menace théorique.

Ce que l'on sait

• CVE-2026-109618 : exécution de code à distance liée à une corruption de mémoire quand PHP manque de mémoire pendant l'initialisation d'une requête. Les cas confirmés passent par l'analyse des requêtes multipart.
• CVE-2026-109619 : use-after-free. Un état résiduel d'une requête pointe vers de la mémoire libérée, qu'une requête suivante du même worker peut utiliser. Les cas confirmés concernent la progression d'upload de session et, sur PHP 8.5, le paramètre fatal_error_backtraces.
• Les deux sont notées 9,2 en CVSS v4.0 selon Tenable (certains agrégateurs affichent 9,5) et sont exploitables par un attaquant distant non authentifié.
• Toute installation qui sert des requêtes web est concernée : PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed. Le risque est jugé le plus élevé avec mod_php.
• Une tentative d'exploitation a été observée dès le 17 octobre, avant la divulgation publique. Les failles peuvent aussi faire fuir de la mémoire (mots de passe, jetons, clés d'API).

Versions corrigées (publiées le 21 octobre 2026)

Si vous êtes sur une branche sans correctif officiel, la meilleure décision est de migrer vers PHP 8.4 ou 8.5.

Étape 1 : savoir où PHP tourne chez vous

Faites l'inventaire de tous les environnements : production, préproduction, conteneurs Docker, hébergements et serveurs oubliés.

php -v
# Dans un conteneur
docker exec <conteneur> php -v

Pensez aux images Docker de base : une image construite il y a plusieurs semaines embarque encore l'ancienne version tant qu'elle n'est pas reconstruite.

Étape 2 : appliquer le correctif et redémarrer

• Mettez à jour via le gestionnaire de paquets de votre distribution ou votre image officielle.
• Redémarrez PHP-FPM ou Apache : installer le paquet ne corrige pas les processus déjà lancés.
• Reconstruisez et redéployez vos images de conteneurs.
• Vérifiez la version après le redémarrage.

Étape 3 : contournements en attendant le correctif

Ils ne remplacent pas la mise à jour, et les recommandations varient selon les sources : référez-vous à l'avis du projet PHP.

• CVE-2026-109619 : définir session.upload_progress.enabled=0 (sauf si vos formulaires affichent une barre de progression) et, sur PHP 8.5, fatal_error_backtraces=0.
• Conserver session.use_strict_mode=1 et réduire post_max_size et les limites d'entrée.
• Limiter les requêtes multipart au niveau du serveur web (au prix de la perte des envois de fichiers), ou limiter le nombre de parties et d'en-têtes.
• Isoler les applications exposées (AppArmor, SELinux, limites de mémoire par conteneur) et placer un WAF devant le site. Cloudflare a déployé des règles provisoires pour le trafic qui transite par son service.

Points de vigilance

• Les versions 8.4.27 et 8.5.12 présentent une régression pouvant faire planter certaines applications qui utilisent SimpleXML (issue php-src #24488). Elle ne vient pas des correctifs de sécurité, mais testez avant de déployer.
• Un chercheur signale une autre faille mémoire qui fonctionne encore sur 8.5.12. Elle n'a ni CVE ni correctif à ce jour : continuez à suivre les avis du projet PHP.
• Si vous observez des signes de sondage sur un serveur, capturez la mémoire des workers avant de le redémarrer pour conserver les preuves.

À retenir

Deux failles critiques, exploitation confirmée, correctifs disponibles depuis le 21 octobre : inventaire, mise à jour, redémarrage, vérification. Pour le contexte, lisez nos articles sur PHP2Shell, Node2Shell et HTTP2Shell et sur la faille PHP du 23 octobre.

Sources : Tenable (FAQ php2shell), ma.ttias.be, CVE Brief, Senserva. Vérifiez toujours l'avis officiel du projet PHP et celui de votre distribution. Photo : panumas nikhomkhai / Pexels.