PHP2Shell : deux failles critiques de PHP exploitées avant les correctifs
Événement Brève générée 56 s de lecture
Rédigé par une IA. Elle a été fusionnée à partir des 4 sources de cette page et n’a pas été relue par une personne.
La version courte
- PHP a publié des correctifs d'urgence pour CVE-2026-109618 et CVE-2026-109619, appelées collectivement PHP2Shell.
- Krebs on Security indique qu'environ 70 % des sites doivent mettre à jour leur logiciel de base, et que des exploits circulent déjà.
- Amazon Threat Intelligence affirme que l'exploitation a débuté quatre jours avant la publication des correctifs, mercredi.
Ce qui s’est passé
L’équipe de sécurité de PHP a publié des correctifs d’urgence pour deux failles critiques d’exécution de code à distance, CVE-2026-109618 et CVE-2026-109619, appelées collectivement PHP2Shell. Krebs on Security rapporte qu’environ 70 % des sites doivent mettre à jour leur logiciel de base et que des exploits fonctionnels existent. Amazon Threat Intelligence affirme que les attaquants ont visé ces failles quatre jours avant la publication des correctifs, mercredi. La CISA avertit par ailleurs que des attaquants exploitent quatre failles de Plex Media Server en chaîne.
Pourquoi ça pourrait compter
De nombreux sites utilisent PHP. Les serveurs non corrigés pourraient donc être pris en main. Une exploitation antérieure à la date des correctifs signifie que certains serveurs sont peut-être déjà compromis, et pas seulement exposés.
Ce qu’on ne sait pas encore
Les sources ne donnent pas le nombre de serveurs touchés ni de compromissions confirmées. Elles ne précisent pas non plus les versions de PHP visées. La chronologie de quatre jours est une constatation d’Amazon. Krebs et la BBC décrivent une exploitation répandue, sans chiffres.
