PHP2Shell : des tentatives d'exploitation observées dès le 17 octobre, la mise à jour de PHP devient prioritaire

En bref

• Le fait. Les deux failles critiques de PHP corrigées le 21 octobre 2026, que nous avons présentées dans notre billet du 22 octobre, sont désormais visées par des attaquants. Amazon Threat Intelligence indique dans un article publié le 21 octobre au soir avoir observé une première tentative dès le 17 octobre, soit quatre jours avant la publication des correctifs, puis des tentatives d'exploitation à grande échelle dans les heures qui ont suivi. Le CERT-FR a mis à jour son alerte CERTFR-2026-ALE-014 le 22 octobre.
• Êtes-vous concerné ? Oui, si votre site internet, votre boutique en ligne ou un outil métier en ligne fonctionne avec PHP. C'est le cas de WordPress, PrestaShop, Joomla ou Drupal. Sur un hébergement mutualisé, c'est l'hébergeur qui installe la version corrigée de PHP.
• Quoi faire :
  1. obtenez aujourd'hui de votre hébergeur, de votre prestataire web ou de votre équipe technique la confirmation écrite que PHP est passé en 8.2.35, 8.3.36, 8.4.27, 8.5.12 ou plus récent ;
  2. si ce n'est pas encore le cas, demandez l'application immédiate des mesures provisoires indiquées dans l'alerte du CERT-FR et dans l'avis du projet PHP, en attendant la mise à jour ;
  3. demandez une vérification des journaux du serveur web depuis le 17 octobre 2026, comme le recommande Amazon : une compromission peut être antérieure à l'annonce des failles.
• Urgence : critique. La CISA demande une mise à jour immédiate ; Amazon recommande de compter les délais de correction en heures pour ce type de faille.

Détail technique

Ce qui a changé depuis le 22 octobre. Amazon Threat Intelligence rapporte, à partir de son réseau de leurres (honeypots) MadPot :

• une tentative d'exploitation le 17 octobre 2026, depuis une adresse appartenant à un réseau d'anonymisation commercial, alors que les failles étaient encore sous embargo ;
• plusieurs tentatives repérées dès le 21 octobre vers 2 h UTC, et d'autres entre 2 h et 8 h UTC, avec des charges et des infrastructures différentes, ce qui laisse penser à plusieurs acteurs ;
• après la levée de l'embargo (21 octobre, 14 h UTC), de nouvelles tentatives contre ses capteurs en quelques heures.

Amazon précise que l'analyse est en cours et qu'il n'est pas établi que ces tentatives auraient réussi sur des systèmes réels. Le statut « exploitation active » de ce billet est donc « inconnue » : des tentatives sont signalées, et aucune compromission n'est établie par les sources citées à la date de rédaction (23 octobre 2026). BleepingComputer relaie ces constats le 22 octobre.

Identifiants. CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) et CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), notées 9.2 (CVSS v4.0) par le projet PHP. Alerte CERT-FR CERTFR-2026-ALE-014, mise à jour le 22 octobre 2026. Alerte de la CISA du 21 octobre 2026.

KEV. Les deux CVE ne figurent pas au catalogue KEV de la CISA à la date de rédaction (version du catalogue du 21 octobre 2026).

Versions à installer. 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou plus récentes. Les branches 8.1 et antérieures ne reçoivent plus de correctif officiel : migration vers une branche maintenue, ou correctif fourni par la distribution ou un éditeur de support étendu. Selon Amazon, la mise à jour est la seule correction complète des deux failles.

Mesures provisoires (non qualifiées par le CERT-FR). En attendant la mise à jour, appliquez les mesures provisoires indiquées dans l'alerte du CERT-FR et dans l'avis du projet PHP, après avoir fait vérifier leur effet sur le fonctionnement du site par votre équipe technique. Selon le projet PHP, ces mesures sont partielles : seule la mise à jour corrige complètement les deux failles.

Détection. Amazon recommande de faire examiner les journaux du serveur web et de contrôler toute exécution de processus ou modification de fichier inattendue sur les serveurs d'applications web, en remontant au moins au 17 octobre 2026. Amazon publie une liste d'adresses IP observées dans son article ; il précise qu'elles relèvent d'infrastructures d'anonymisation partagées et conseille de les utiliser pour enquêter plutôt que pour bloquer.

En cas de doute sur une compromission. Le CERT-FR renvoie à sa fiche réflexe d'endiguement ; conservez les journaux avant toute remise en état.