PHP2Shell : tout sur la faille PHP critique
Deux failles critiques dans PHP lui-même, CVSS 9.2, code malveillant sans authentification. Vous trouverez ici ce qui est établi, quelles versions sont sûres et ce que vous faites maintenant.
Qu'est-ce que PHP2Shell ? La faille expliquée simplement
PHP2Shell désigne deux failles critiques dans PHP lui-même, par lesquelles des attaquants peuvent exécuter du code sur des serveurs web sans authentification. La situation en termes clairs.
Lire la suite →02CVE-2026-109618 : RCE par état de mémoire insuffisante
CVE-2026-109618 est l'une des deux failles PHP2Shell : un état de mémoire insuffisante peut interrompre PHP en plein traitement de la requête. Corrigée à partir de PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Lire la suite →03CVE-2026-109619 : RCE par état global périmé
CVE-2026-109619 est la seconde faille PHP2Shell : l'état interne d'une requête peut subsister après la libération de la mémoire et être exploité par la requête suivante dans le même worker.
Lire la suite →04CVE-2026-115560 : avis sur Session Upload Progress
CVE-2026-115560 est un avis de php.net du 23.10.2026 : exécution de code possible uniquement avec une configuration de session inhabituelle. Parade jusqu'à la prochaine version : session.upload_progress.enabled=0.
Lire la suite →05Quelles versions de PHP sont concernées ?
PHP2Shell est corrigée dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour PHP 8.1 et antérieur, il n'existe plus de mises à jour officielles. Le tableau montre l'état par branche.
Lire la suite →06Bien vérifier la version de PHP et l'état des correctifs
La version de PHP affichée ne dit pas à elle seule si PHP2Shell est refermée. L'état des paquets, les backports et le fait que les nouveaux processus tournent réellement sont déterminants.
Lire la suite →07Pourquoi mod_php porte le risque le plus élevé
Avec Apache et mod_php, l'équipe PHP estime le risque lié à PHP2Shell le plus élevé : un exploit y a été démontré avant l'exécution du code de l'application. Comment vérifier et agir.
Lire la suite →08Après la mise à jour : redémarrer PHP-FPM et tous les workers
Une mise à jour de PHP n'agit que lorsque tous les processus PHP ont été redémarrés. Voici les commandes pour PHP-FPM, Apache, LiteSpeed et les conteneurs, et comment vérifier le redémarrage.
Lire la suite →09Mesures immédiates si vous ne pouvez pas encore appliquer le correctif
Si la mise à jour de PHP n'est pas encore possible, les mesures transitoires de php.net réduisent le risque, mais ne protègent pas complètement. Comment les appliquer correctement.
Lire la suite →10PHP 8.1 et antérieur : ce qui s'applique maintenant
Pour PHP 8.1, 8.0, 7.4 et les versions antérieures, il n'existe aucune mise à jour officielle contre PHP2Shell. Ce que les backports du code source apportent et à quoi ressemble la voie vers une version prise en charge.
Lire la suite →11Corriger PHP dans les conteneurs Docker
Les conteneurs ne se corrigent pas eux-mêmes. Contre PHP2Shell, vous devez reconstruire ou retirer à nouveau l'image PHP et recréer chaque conteneur à partir de la nouvelle image.
Lire la suite →12Suis-je déjà compromis ? Les signes après PHP2Shell
Il n'existe pas d'indicateurs de compromission confirmés pour PHP2Shell. À quoi reconnaître malgré tout que votre serveur a été piraté, et comment vérifier sans détruire de traces.
Lire la suite →Chaque heure compte. Écrivez-nous maintenant.
Décrivez brièvement votre système, votre version de PHP et ce que vous avez observé. Nous vous répondons, faisons le point et travaillons à distance jusqu'à la clôture et la documentation de l'incident.