‼️ Alerte ‼️ Failles PHP2Shell : des tentatives d’exploitation détectées avant les correctifs

Amazon Threat Intelligence a détecté, dès le 17 octobre 2026, une tentative d’exploitation des failles PHP2Shell, soit quatre jours avant la publication des correctifs le 21 octobre. D’autres tentatives ont été observées quelques heures avant leur diffusion, grâce à un système de serveurs leurres destiné à repérer les attaques.

Les deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, pourraient permettre l’exécution de code malveillant à distance sur les systèmes vulnérables. Elles concernent PHP, un langage largement utilisé sur le Web, notamment par les sites WordPress. Les tentatives détectées ne prouvent toutefois pas une compromission réussie : la Fondation PHP affirme n’avoir connaissance d’aucune exécution de code à distance ayant abouti.

Le problème avait été envisagé dès 2024, mais sa correction a été retardée par des difficultés techniques : risques d’incompatibilité, introduction possible de dénis de service et modifications nécessaires d’extensions tierces. Des informations ont ensuite circulé avant la publication officielle, sans que l’on sache comment l’auteur de la première tentative les avait obtenues.

La priorité est de mettre à jour les systèmes concernés. La Fondation PHP annonce également une amélioration de ses procédures pour accélérer le traitement des vulnérabilités complexes.