PHP2Shell : corriger CVE-2026-109618 et CVE-2026-109619

PHP2Shell en bref

Ce qu'il faut retenir

• CVE-2026-109618 — corruption mémoire lors d'un dépassement de memory_limit : des données de requête partiellement initialisées sont ensuite traitées comme valides au nettoyage.
• CVE-2026-109619 — état global périmé : un état propre à une requête survit à la libération de sa mémoire et peut être lu par la requête suivante sur le même processus.
• Score : 9.2 sur 10 en CVSS 4.0 pour chacune, sans authentification ni interaction de l'utilisateur.
• Versions corrigées : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Le projet ne publie plus de version pour 8.1 et les branches antérieures.
• Exploitation : watchTowr rapporte des tentatives d'exploitation dans ses pièges réseau dès le 21 octobre 2026.
• Périmètre : les chercheurs estiment que les branches touchées remontent jusqu'à PHP 5.4, sans que chaque version ait été testée individuellement.

Pourquoi ces deux failles sont si dangereuses

Quelle version installer selon votre branche

Faites défiler le tableau

Vérifier si vos serveurs sont exposés

Inventorier les versions de PHP servies

1. 01

   Lister les versions installées

   Sur Debian ou Ubuntu :

   dpkg-query -W -f='${db:Status-Abbrev} ${Package} ${Version}\n' 'php*' | awk '$1=="ii"' | grep -E 'php[0-9.]+-(fpm|cli|common)|libapache2-mod-php'

   Sur RHEL, AlmaLinux ou Rocky Linux :

   rpm -qa 'php*' 'ea-php*' 'alt-php*' | sort

2. 02

   Repérer les processus PHP qui tournent

   systemctl list-units --type=service --state=running | grep -E 'php|apache2|httpd|lsws'

   Chaque service phpX.Y-fpm actif est une version à vérifier et à corriger.

3. 03

   Lire la version servie par un site

   Déposez un fichier temporaire à la racine du site, interrogez-le, puis supprimez-le immédiatement :

   echo '<?php echo PHP_VERSION, " ", PHP_SAPI;' > /var/www/monsite/v-check.php
   curl -s https://monsite.example/v-check.php
   rm /var/www/monsite/v-check.php

   Un résultat 8.3.36 fpm-fcgi indique une version corrigée servie par PHP-FPM.

4. 04

   Contrôler les conteneurs Docker

   docker ps --format '{{.Names}}' | while read c; do echo "$c: $(docker exec "$c" php -r 'echo PHP_VERSION;' 2>/dev/null)"; done

   Un conteneur sans PHP n'affiche rien après son nom.

Appliquer le correctif

Mettre à jour PHP selon votre environnement

1. 05

   Debian et Ubuntu

   sudo apt update
   sudo apt install --only-upgrade $(dpkg-query -W -f='${db:Status-Abbrev} ${Package}\n' 'php*' | awk '$1=="ii"{print $2}')
   sudo systemctl restart 'php*-fpm'
   sudo systemctl restart apache2   # si vous utilisez mod_php

   Si vos versions viennent d'un dépôt tiers (par exemple le PPA ondrej/php), vérifiez que la version installée après la mise à jour est bien une version corrigée.

2. 06

   RHEL, AlmaLinux, Rocky Linux

   sudo dnf upgrade 'php*'
   sudo systemctl restart php-fpm
   sudo systemctl restart httpd

   AlmaLinux a publié ses paquets corrigés le 21 octobre 2026. Le dépôt communautaire Remi n'avait, lui, aucune mise à jour disponible au moment de l'annonce : si vous en dépendez, vérifiez la version installée après coup.

3. 07

   Serveur cPanel (EasyApache 4 ou CloudLinux)

   sudo dnf upgrade 'ea-php*' 'alt-php*'
   /scripts/restartsrv_apache_php_fpm
   /scripts/restartsrv_httpd

   Sur un serveur plus ancien, remplacez dnf par yum. Contrôlez ensuite chaque version dans WHM › MultiPHP Manager : un compte encore réglé sur une branche sans correctif (7.x, 8.0, 8.1) doit être basculé vers une version maintenue.

4. 08

   Conteneurs Docker

   docker compose pull
   docker compose up -d --force-recreate
   docker compose exec app php -r 'echo PHP_VERSION;'

   Si votre Dockerfile part d'une image php:8.3-fpm, reconstruisez l'image avec docker compose build --pull : sans --pull, Docker réutilise l'ancienne image de base en cache.

5. 09

   Contrôler le résultat

   Relancez la vérification de l'étape précédente sur chaque site. Le correctif n'est appliqué que si la version servie par le web est corrigée, pas seulement la version installée sur le disque.

Si vous ne pouvez pas mettre à jour tout de suite

; dans le pool FPM, par exemple /etc/php/8.3/fpm/pool.d/www.conf
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 uniquement :
php_admin_flag[fatal_error_backtraces] = off

Rechercher des traces d'exploitation

Contrôles à mener après le correctif

1. 10

   Chercher les processus PHP-FPM tués

   sudo grep -E 'exited on signal (11|6)' /var/log/php*-fpm.log | tail -20

   Des processus tués par le signal 11 (SIGSEGV) en série depuis le 21 octobre sont un signal d'alerte.

2. 11

   Chercher les dépassements de mémoire

   sudo grep -rh 'Allowed memory size' /var/log/php* /var/log/nginx /var/log/apache2 2>/dev/null | tail -20

3. 12

   Repérer les fichiers PHP récemment créés

   sudo find /var/www /home -name '*.php' -newermt '2026-10-20' -not -path '*/vendor/*' -not -path '*/cache/*' -ls

   Un fichier inconnu au nom générique, dans un dossier d'envoi ou dans /tmp, doit être examiné avant toute suppression.

4. 13

   En cas de doute, traiter le serveur comme compromis

   Isolez la machine, conservez une copie des journaux, puis renouvelez les mots de passe de base de données, les clés d'API et les secrets présents dans les fichiers .env : une fuite de mémoire peut les avoir exposés sans laisser d'autre trace.

Sur un hébergement mutualisé

La documentation officielle