Alerte de sécurité · PHP2Shell
Diagnostic d'urgence PHP2Shell, offert par PCYBOX.
Deux failles critiques de PHP permettent d'exécuter du code à distance sans authentification. PCYBOX aide gratuitement 4 startups, PME ou associations à vérifier et corriger leurs serveurs. Ce formulaire ne nous donne aucun accès à vos systèmes et ne demande aucun mot de passe.
Ce qu'il faut savoir
Deux failles critiques dans PHP lui-même.
Elles touchent le moteur PHP, pas une application en particulier : un site peut être vulnérable même si son code est irréprochable.
- Failles
- CVE-2026-109618 (corruption mémoire en cas de dépassement mémoire) et CVE-2026-109619 (état interne réutilisé entre deux requêtes)
- Gravité
- Critique : 9.2 (CVSS v4.0). Exécution de code à distance sans authentification.
- Concerné
- Toute installation PHP qui sert des requêtes web : PHP-FPM, Apache avec mod_php (risque le plus élevé), php-cgi, FrankenPHP, LiteSpeed.
- Versions corrigées
- PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, publiées le 21 octobre 2026.
- PHP 8.1 et antérieur
- Plus de version officielle. Correctifs minimaux pour 7.4, 8.0 et 8.1, ou paquets de votre distribution. Pour 7.3 et antérieur : migration obligatoire.
- Exploitation
- Une première tentative a été observée dès le 17 octobre, quatre jours avant la publication. Les tentatives se sont multipliées à partir du 21 octobre. Recherchez des traces à partir du 17.
Que faire maintenant
Les mesures à appliquer, dans l'ordre.
La mise à jour de PHP est la seule correction complète. Les réglages temporaires réduisent le risque mais ne suffisent pas.
Faire l'inventaire
Listez tous les serveurs et hébergements qui exécutent PHP, en commençant par ceux exposés sur Internet et ceux qui utilisent Apache mod_php.
Mettre à jour PHP
Passez à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou au paquet corrigé de votre distribution. Redémarrez ensuite tous les processus PHP (PHP-FPM, Apache).
Si vous ne pouvez pas mettre à jour tout de suite
Limitez l'exposition du serveur à Internet et appliquez les réglages temporaires ci-dessous, qui visent chacun une faille différente. Ils se placent dans php.ini ou dans la configuration du pool FPM ou d'Apache (php_admin_value), jamais avec ini_set ou .user.ini, puis il faut redémarrer tous les processus PHP. Si le site n'accepte pas de fichiers, bloquez aussi les envois multipart/form-data au niveau du proxy.
Vérifier l'absence de compromission
Recherchez des fichiers PHP inconnus, des tâches planifiées ou des comptes ajoutés, des connexions sortantes inhabituelles. Assurez-vous d'avoir une sauvegarde saine avant toute remise en état.
Réglages temporaires recommandés par l'avis officiel de php.net :
; CVE-2026-109619 (état interne réutilisé)
session.upload_progress.enabled = 0
fatal_error_backtraces = 0 ; PHP 8.5 uniquement
; CVE-2026-109618 (manque de mémoire)
memory_limit = -1
post_max_size = 8M ; 32M si le site accepte des fichiers
upload_max_filesize = 6M ; toujours inférieur à post_max_sizeAttention : memory_limit = -1 retire la limite de mémoire de PHP. Associez-le à une limite mémoire au niveau du conteneur ou du cgroup, qui n'arrête que le processus concerné, sinon un seul processus peut saturer le serveur. N'utilisez pas RLIMIT_AS ni RLIMIT_DATA. Ces réglages réduisent le risque mais ne remplacent pas la mise à jour.
Vous êtes sur un hébergement mutualisé ? La mise à jour dépend de votre hébergeur : demandez-lui la version de PHP en place et la date de son correctif.
Notre offre
Un diagnostic gratuit pour 4 structures.
Pour les startups, PME et associations qui n'ont pas d'équipe de sécurité interne.
Ce que comprend le diagnostic
- Vérification de la version de PHP et de la configuration exposée
- Mise à jour ou application du correctif, avec votre équipe
- Recherche de traces de compromission
- Recommandations de durcissement adaptées à votre hébergement
- Un compte rendu écrit
Comment ça se passe
- Vous remplissez le formulaire : il ne nous donne aucun accès et ne demande aucun mot de passe.
- Nous vérifions que la demande vient bien de la structure concernée.
- Nous contactons les structures retenues pour signer une autorisation écrite avant toute intervention.
- Les structures non retenues reçoivent les mesures à appliquer elles-mêmes.
Formulaire
Demander le diagnostic.
Réponse sous 48 heures ouvrées. Questions : contact@pcybox.com
Les informations transmises servent uniquement à traiter cette offre. Elles ne sont pas enregistrées sur le site : elles nous sont envoyées par e-mail, via notre messagerie professionnelle, à contact@pcybox.com. Elles ne sont ni vendues ni partagées. Vous pouvez demander leur consultation, leur rectification ou leur suppression à contact@pcybox.com, conformément à la loi sénégalaise n° 2008-12 sur les données personnelles.