ALERTE CYBER : Tout ce qu’il faut savoir sur « php2shell », la double faille critique qui fait trembler le Web

C’est le sujet qui panique actuellement l’ensemble de la communauté sysadmin, DevOps et webmasters : la publication imminente de correctifs pour deux vulnérabilités critiques affectant l’interpréteur PHP. Surnommées « php2shell » par les chercheurs en sécurité (référencées sous CVE-2026-109618 et CVE-2026-109619), ces failles mettent sous tension des millions d’infrastructures à travers le monde.

🔍 De quoi s’agit-il exactement ?

Les deux vulnérabilités affichent un score de gravité de 9.2/10 (CVSS v4.0). Concrètement, elles permettraient à un attaquant distant et non authentifié d’exécuter du code arbitraire (RCE – Remote Code Execution) directement sur le serveur.

• Exécution de code à distance : Un pirate peut potentiellement prendre la main sur le processus PHP, accéder au système de fichiers, lire des variables d’environnement confidentielles (mots de passe, clés d’API, bases de données) ou pivoter sur le réseau interne.

• Une fuite qui a tout précipité : Les détails ont commencé à fuiter sous embargo avant la sortie programmée des patchs officiels, poussant l’équipe de sécurité de PHP, le CERT-EU et l’ANSSI à émettre des alertes d’urgence.

• Une portée massive : Des environnements tournant sous PHP 8.x, mais aussi les anciennes branches obsolètes (PHP 7.x et 5.x encore très présentes sur le Web) pourraient être exposés sans protection native si elles ne bénéficient plus du support officiel.

Attention : Il ne s’agit pas d’un simple bug dans un plugin WordPress ou un framework comme Laravel, mais bien d’un problème au niveau du runtime / moteur PHP lui-même. Mettre à jour son CMS ne suffit pas si le binaire PHP du serveur reste vulnérable.

Bascule vers les branches PHP sécurisées

Nous avons immédiatement migré l’ensemble des scripts et environnements de production vers les versions les plus récentes et corrigées mises à jour par l’équipe d’infrastructure d’o2switch (PHP 8.2 / 8.3 avec les derniers patchs de sécurité appliqués).

Abandon définitif des anciennes versions obsolètes

Les versions legacy (PHP 7.x et antérieures) ne recevant plus de correctifs officiels, nous avons définitivement écarté leur utilisation pour nous assurer qu’aucun script résiduel ne tourne sur un environnement non maintenu.