PHP2Shell permet désormais l’exécution de code à distance confirmée sur des serveurs vulnérables, et ne se limite plus à des analyses ou à des plantages. Le 24 octobre 2026, des chercheurs ont signalé 35 démarrages de shell issus de 35 requêtes au stade de l’exécution sur trois honeypots Apache mod_php exécutant PHP 8.4.26. Les administrateurs doivent installer une version corrigée de PHP, redémarrer chaque worker, vérifier la version servie par le Web et rechercher d’éventuelles compromissions remontant au 17 octobre 2026.
PHP2Shell est-il activement exploité ?
PHP2Shell a évolué vers une véritable exécution de code à distance en 2026. SecurityWeek a rapporté le 24 octobre 2026 que trois honeypots Apache mod_php vulnérables avaient enregistré 35 requêtes au stade de l’exécution corrélées à 35 /bin/sh démarrages de processus. La CISA a ajouté les deux vulnérabilités associées à son catalogue des vulnérabilités exploitées connues le 26 octobre 2026.
PHP2Shell est une chaîne d’exploitation qui combine l’épuisement de la mémoire de PHP et la divulgation de mémoire afin d’exécuter des commandes à distance. Les attaques confirmées contre les honeypots ont utilisé une séquence HTTP en quatre étapes en 2026, bien que les chercheurs n’aient observé aucun téléchargement de charge utile de deuxième étape dans cet ensemble de données.
Le résultat brut est frappant : 35 démarrages de shell divisés par 35 requêtes au stade de l’exécution correspondent à un taux de réussite observé de 100%. Il faut toutefois interpréter ce chiffre avec prudence. SecurityWeek a indiqué que le test de 2026 utilisait une configuration Apache mod_php volontairement favorable, avec un seul worker ; cela ne prouve donc pas une fiabilité comparable avec PHP-FPM, les déploiements multithreads, FrankenPHP, LiteSpeed ou toutes les applications Web.
Un rapport distinct apporte un contexte concret. Sophos a indiqué le 22 octobre 2026 avoir observé plusieurs tentatives et une exploitation réussie depuis 45.198.224.169, delivering a payload assessed as the Potassium Mirai variant. Sophos reported no associated ransomware, data theft, or supply-chain compromise, but the observation came from one vendor and shouldn’t be generalized beyond its evidence.
AWS MadPot detected an exploitation attempt on October 17, 2026, four days before PHP publicly released its fixes. The sequence resembles other fast-moving vulnerability events, including the site’s coverage of an vulnérabilité Atlassian activement exploitée: l’application publique des correctifs et la recherche rétrospective de menaces doivent être menées conjointement.
Quelles versions de PHP doivent être corrigées ?
PHP2Shell affecte les déploiements qui n’ont pas reçu les correctifs de sécurité du 21 octobre 2026 pour CVE-2026-109618 et CVE-2026-109619. Le projet PHP a publié les versions corrigées PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. La mise à jour vers une version corrigée ou vers un rétroportage authentifié fourni par un éditeur est la seule remédiation complète.
| Branche PHP | Version amont corrigée minimale | Action requise en 2026 |
|---|---|---|
| PHP 8.5 | PHP 8.5.12 | Mettre à jour et redémarrer les workers |
| PHP 8.4 | PHP 8.4.27 | Mettre à jour et redémarrer les workers |
| PHP 8.3 | PHP 8.3.36 | Mettre à jour et redémarrer les workers |
| PHP 8.2 | PHP 8.2.35 | Mettre à jour et redémarrer les workers |
| PHP 8.1 et versions antérieures | Aucune version amont régulière | Utiliser un rétroportage fourni par la distribution ou un éditeur LTS, ou mettre à niveau |
Les anciennes branches créent le piège opérationnel le plus délicat. PHP 8.1 et les versions antérieures ne reçoivent plus de versions amont en 2026. Le projet PHP a fourni des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1, mais les installations empaquetées ont besoin d’un rétroportage fourni par la distribution Linux ou par l’éditeur assurant le support à long terme, à moins de passer à une branche prise en charge.
Ne supposez pas qu’un ancien paquet est exposé simplement parce que la version affichée semble inférieure à la version corrigée amont. Les éditeurs Linux conservent parfois une version de base plus ancienne tout en rétroportant le code de sécurité et en ajoutant une révision du paquet. Consultez l’avis de sécurité de l’éditeur et le journal des modifications du paquet. À l’inverse, un paquet non pris en charge et dépourvu de rétroportage documenté reste problématique, quel que soit le niveau de stabilité apparent du serveur.
Que doivent corriger les administrateurs en priorité ?
Les environnements d’exécution PHP exposés sur Internet doivent recevoir les correctifs PHP2Shell en premier, Apache mod_php étant prioritaire. Le projet PHP a spécifiquement identifié Apache mod_php, PHP-FPM, php-cgi, FrankenPHP et les installations LiteSpeed comme étant à risque le 21 octobre 2026. Les systèmes internes doivent également être corrigés une fois les services accessibles depuis l’extérieur sécurisés.
Commencez par les actifs acceptant du trafic HTTP non fiable et des téléversements de formulaires multipart. Les systèmes publics de gestion de contenu, les points de terminaison de téléversement, les portails clients, les passerelles d’API transmettant les requêtes à PHP et les hôtes de préproduction oubliés méritent une vérification immédiate de l’inventaire. Un nom d’hôte de préproduction faiblement surveillé peut constituer un point d’entrée plus facile que le site de production.
Utilisez l’ordre suivant pour limiter l’exposition sans prendre une mesure temporaire pour un correctif :
- Identifiez chaque hôte et conteneur exposé sur Internet qui traite des requêtes PHP, y compris les domaines alternatifs et les systèmes de préproduction.
- Corrigez d’abord les déploiements Apache mod_php, puis les services PHP-FPM, php-cgi, FrankenPHP et LiteSpeed.
- Redémarrez les workers Web et PHP concernés afin que les anciens processus vulnérables quittent la mémoire.
- Vérifiez la version de PHP via le chemin qui sert les requêtes Web plutôt que de vous fier uniquement à une commande shell.
- Conservez les éléments de preuve et examinez l’activité depuis le 17 octobre 2026 jusqu’au redémarrage confirmé des workers.
Le blocage des téléversements multipart peut réduire l’exposition lorsque l’application le permet, selon les recommandations d’AWS publiées en 2026. Les règles WAF et les changements de configuration restent des mesures d’atténuation incomplètes. À mon avis, désactiver une fonctionnalité de téléversement essentielle à l’activité est raisonnable pendant une courte fenêtre de maintenance, mais la laisser désactivée au lieu de planifier la mise à jour relève d’une mauvaise gestion des risques.
Teams handling several urgent maintenance changes should track security work separately from routine certificate automation such as preparations for la réduction de la durée de validité des certificats Let’s Encrypt. PHP2Shell dispose de preuves confirmées d’exécution de code et mérite donc de figurer dans la file d’urgence.
Comment vérifier la remédiation de PHP2Shell ?
La remédiation de PHP2Shell n’est considérée comme vérifiée que lorsque la version de PHP qui traite les requêtes Web contient le correctif de 2026 et que tous les anciens workers ont été redémarrés. Un projet communautaire d’atténuation a averti le 26 octobre 2026 que php -v peut examiner une installation différente en ligne de commande de celle du runtime PHP utilisé par Apache ou PHP-FPM.
C’est le piège que de nombreuses listes de contrôle de correctifs oublient. Un serveur peut avoir un binaire PHP pour la ligne de commande, un autre chargé dans Apache et un pool PHP-FPM distinct à l’intérieur d’un conteneur. Voir PHP 8.4.27 dans une session SSH ne prouve pas qu’une requête acheminée par l’équilibreur de charge atteint PHP 8.4.27.
Validez, au moyen d’un point de terminaison web contrôlé, d’un inventaire des services ou de données de télémétrie du déploiement, la version du runtime sans laisser de pages de diagnostic publiques. Redémarrez complètement Apache ou les workers PHP-FPM après la mise à jour. Un rechargement gracieux peut préserver des processus ou des pools selon la conception du service ; confirmez donc les heures de démarrage des processus et éliminez progressivement les anciens conteneurs.
La version corrigée dispose également de preuves de test directes. SecurityWeek a rapporté en 2026 que des chercheurs n’avaient pas réussi à contourner PHP 8.4.27 lors de leurs tests sur un honeypot. Ce résultat confirme le correctif publié, mais ne dispense pas de vérifier les rétroportages des fournisseurs, chaque chemin d’exécution ou une compromission résiduelle survenue avant le redémarrage.
Quels éléments indiquant une compromission par PHP2Shell devez-vous rechercher ?
La recherche d’indices liés à PHP2Shell doit corréler les requêtes POST multipartites suspectes ou PHP_SESSION_UPLOAD_PROGRESS avec des erreurs d’épuisement de la mémoire PHP, des réponses HTTP 500 ou 502, des plantages de workers et des cookies de session anormaux. AWS a déclaré le 22 octobre 2026 que les éléments les plus probants incluent la création, par un worker PHP ou Apache, de shells, de téléchargeurs ou de commandes de reconnaissance du système.
Une erreur de mémoire isolée constitue un indice peu probant, car des charges de travail légitimes peuvent épuiser les limites de PHP. Une réponse HTTP 500 est encore moins probante. Le niveau de confiance augmente lorsque la même chronologie de requête inclut le plantage d’un worker, un comportement de session inhabituel et un processus enfant tel que /bin/sh.
Conservez les journaux d’accès et d’erreurs web, les journaux PHP, les journaux des services, les événements du WAF, la télémétrie des processus, les journaux d’audit cloud et les enregistrements d’authentification. AWS recommande de conserver les éléments de preuve couvrant au moins la période du 17 octobre 2026 jusqu’au redémarrage des workers vulnérables. Si les journaux sont renouvelés quotidiennement, les copier avant l’application du correctif peut éviter que la fenêtre de mise à jour n’efface les meilleurs indices.
AWS a publié six adresses d’investigation observées du 17 au 21 octobre 2026 : 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, et 95.217.98.37. AWS a précisé que ces adresses incluent une infrastructure d’anonymisation partagée. Examinez les correspondances ; ne les bloquez pas automatiquement et ne les considérez pas comme une preuve de compromission.
Ne vous limitez pas aux adresses répertoriées. Les attaquants peuvent modifier leur infrastructure plus rapidement que de nombreuses organisations ne déploient des règles de pare-feu, et un logiciel malveillant peut arriver depuis une adresse absente d’un avis public. L’activité Potassium Mirai signalée rappelle qu’une exploitation réussie peut devenir un point d’ancrage pour un logiciel malveillant, tout comme les défenseurs doivent distinguer les indicateurs des preuves lorsqu’ils examinent les logiciels malveillants ciblant les serveurs exposés.
Honnêtement, l’ascendance des processus est ici le signal le plus précieux. Un worker web qui lance un shell ou un téléchargeur est bien plus exploitable qu’un ensemble bruyant de requêtes échouées. Isolez l’hôte, préservez les éléments de preuve volatils, faites tourner les identifiants exposés et recherchez toute activité latérale avant de remettre le système en service.
FAQ sur PHP2Shell
Quels CVE sont associés à PHP2Shell ?
PHP2Shell fait référence à CVE-2026-109618 et CVE-2026-109619. PHP a publié des correctifs pour ces deux vulnérabilités le 21 octobre 2026, et la CISA les a toutes deux ajoutées à son catalogue des vulnérabilités exploitées connues le 26 octobre 2026.
Un WAF peut-il complètement bloquer PHP2Shell ?
Un pare-feu applicatif web ne peut pas assurer une correction complète de PHP2Shell. AWS a déclaré en 2026 que le blocage des téléversements multipart peut réduire l’exposition lorsque cela est possible, tandis que le projet PHP précise que la mise à jour est la seule correction complète.
PHP 8.1 dispose-t-il d’une version stable officielle ?
PHP 8.1 ne bénéficie d’aucune version corrective régulière en amont, car cette branche ne bénéficiait plus du support en amont en 2026. Les installations sous forme de paquet nécessitent un rétroportage documenté fourni par la distribution ou un fournisseur LTS, ou une mise à niveau vers une branche PHP prise en charge.
Les administrateurs doivent-ils bloquer chaque adresse IP PHP2Shell publiée ?
Les administrateurs devraient examiner les six adresses publiées par AWS en octobre 2026 plutôt que de les bloquer automatiquement toutes. AWS a averti que certaines des adresses observées appartiennent à une infrastructure d’anonymisation partagée, ce qui fait d’une correspondance d’adresse une piste d’enquête plutôt qu’une attribution concluante.
L’application d’un correctif supprime-t-elle une infection PHP2Shell existante0?
L’application du correctif à PHP2Shell empêche l’exploitation des vulnérabilités corrigées, mais ne supprime pas les logiciels malveillants, les comptes, les tâches planifiées ni les identifiants laissés par une compromission antérieure. Les administrateurs doivent préserver les preuves, enquêter sur l’hôte concerné et mener à bien les procédures de réponse aux incidents après l’installation du correctif.