PHP : deux vulnérabilités critiques déjà exploitées en cours de correction

Coup de tonnerre sur Internet hier, mardi 20 octobre, peu avant 22h, heure de Paris : la fondation PHP annonce une mise à jour pour aujourd'hui 16h devant corriger deux vulnérabilités critiques, au score CVSSv3 de 9,2 sur 10.

La fondation n'a pas détaillé ces deux vulnérabilités, référencées CVE-2026-109618 et CVE-2026-109619. Mais d'autres ont déjà commencé à s'en charger dans la matinée... alors que toute la communauté informée de leur existence avaient accepté d'attendre jusqu'à jeudi matin avant de communiquer.

De son côté, le CERT-EU recommande vivement de faire l'inventaire de ses applications PHP exposées sur Internet et de se préparer à appliquer les correctifs dès qu'ils seront disponibles. Ou, à défaut, de les isoler d'Internet. Aux Pays-Bas, par exemple, c'est la voie choisie au moins temporairement, par certaines municipalités. GrapheneOS a fait le même choix pour son forum. 

Andrew Case, de Volexity, explique que toutes les versions de PHP sont concernées. Des mesures de prévention de l'exploitation sont déjà publiques depuis quelques heures : désactiver l'option session.upload_progress.enabled et activer session.use_only_cookies. Du moins selon un premier... démonstrateur d'exploitation dont l'auteur précise que ces deux options ne ferment pas tous les chemins d'attaque possibles.

Certains disent déjà observer des tentatives d'exploitation basées sur ledit démonstrateur. Le directeur technique de Cloudflare, Dane Knecht, l'indique également, tout en précisant que les clients de son service de pare-feu applicatif Web (WAF) sont déjà protégés.

Combinées, ces deux vulnérabilités ont reçu le petit nom de PHP2Shell, suggérant que leur exploitation réussie permet de prendre la main sur le serveur concerné et d'y exécuter du code arbitraire à distance, sans authentification. La fondation PHP ne prévoit de correctifs que pour les versions supportées, à savoir 8.2 et ultérieures.