Le 20 octobre 2026, l'équipe PHP a annoncé une mise à jour de sécurité critique. Un jour plus tard, le 21 octobre, les détails et les correctifs ont suivi. Il s'agit de PHP2Shell : deux vulnérabilités (CVE-2026-109618 et CVE-2026-109619) qui permettent à un attaquant d'exécuter du code à distance sur un serveur web, sans connexion. Les deux ont reçu un score CVSS de 9.2 (critique). Selon les chercheurs, les versions de PHP 5.4 à PHP 8 sont affectées.
PHP s'exécute sur une grande partie d'Internet, y compris WordPress et de nombreuses applications web.
Qu'est-ce que PHP2Shell ?
PHP2Shell consiste en des erreurs dans la gestion de la mémoire du moteur PHP lui-même. Un attaquant peut faire exécuter du code sur le serveur via une simple requête web. Dans le pire des cas, cela signifie un contrôle total du serveur web, l'accès aux données et un accès au reste du réseau.
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour les versions plus anciennes (7.4 à 8.1), il n'existe pas de versions officielles, mais des rétroportages minimaux de l'équipe de sécurité PHP.
Notre réaction chez XVE
Chez XVE, nous avons agi rapidement dès le départ. Dès que l'équipe PHP a annoncé la version critique, et donc avant que les détails ou un correctif ne soient disponibles, nos ingénieurs ont cartographié l'impact sur l'ensemble de notre infrastructure serveur et ont pris des mesures d'atténuation.
Résultat : notre service n'a jamais été interrompu.
Même pendant la période sans correctif officiel, tous nos systèmes sont restés opérationnels, tandis que les composants critiques étaient isolés et limités.
Lorsque le correctif officiel est arrivé le 21 octobre, nous étions prêts.
En une demi-heure, toute notre infrastructure serveur a été corrigée et complètement opérationnelle.
Voici comment nous avons procédé concrètement :
1. Détection rapide et inventaire
Immédiatement après l'annonce, nous avons cartographié l'endroit où PHP s'exécute dans notre environnement. Quels serveurs, quelles versions et quelles applications sont accessibles au public. Ainsi, en peu de temps, nous savions exactement quels systèmes avaient la priorité et où le risque était le plus élevé.
2. Atténuation sans temps d'arrêt
En attente du correctif officiel, nous avons limité et isolé les composants critiques. Nous avons limité l'exposition des systèmes vulnérables, sans arrêter nos services. Les clients et les employés pourraient continuer à travailler normalement, tandis que les possibilités d'attaque ont été réduites au minimum.
3. Déploiement contrôlé du correctif
Parce que la préparation était déjà faite, nous avons pu déployer immédiatement le correctif officiel dès sa disponibilité. En une demi-heure, toute notre infrastructure serveur a été mise à jour. Après le déploiement, nous avons vérifié que tous les systèmes s'exécutaient effectivement sur une version sûre et que tous les services fonctionnaient correctement.
4. Vigilance accrue
Même après la correction, nous restons vigilants. Nous surveillons nos systèmes de manière supplémentaire pour détecter les activités suspectes et les signes d'abus. Ainsi, nous sommes sûrs que rien n'a mal tourné, même avant la correction.
Qu'est-ce que cela signifie pour nos clients ?
De XVE.IT, XVE.Agency et XVE.Dev, nous suivons activement cela pour les environnements et les sites web que nous gérons.
Avez-vous un site web, une boutique en ligne ou une application PHP et doutez-vous d'être en sécurité ?
N'hésitez pas à nous contacter. Nous serions heureux de le vérifier pour vous.
Notre conseil
Mettez à jour PHP dès que possible vers une version corrigée.
Exécutez-vous toujours une version PHP obsolète ? Planifiez ensuite une mise à niveau.
Vérifiez vos serveurs pour les signes d'abus.
Chez XVE, nous prenons la sécurité au sérieux.
Réagir rapidement, protéger de manière proactive et communiquer clairement : c'est ainsi que nous gardons notre environnement et le vôtre en sécurité.
Notre équipe est à votre disposition.
Luka Ver Eecke et Bram Vanden Broeck
