La plupart des serveurs PHP restent exposés aux exploits critiques PHP2Shell malgré les avertissements

Cinq jours après la divulgation publique de deux vulnérabilités critiques PHP connues sous le nom de PHP2Shell, les entreprises de sécurité signalent que la grande majorité des systèmes exposés à l'internet restent non corrigés et activement ciblés par les attaquants. Malgré les avertissements urgents des agences gouvernementales et des principaux fournisseurs technologiques, les efforts de remédiation ont pris un retard significatif par rapport à la vitesse des tentatives d'exploitation.

Ce qui s'est passé

Les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619, affichent un score du Common Vulnerability Scoring System (CVSS) de 9,2, indiquant un risque sévère d'exécution de code à distance. Comme PHP alimente environ 70 % des sites web dotés de langages côté serveur identifiables, y compris de nombreuses installations WordPress, l'impact potentiel est massif. Cependant, les données d'Ox Security révèlent qu'au 26 octobre, 93,6 % des systèmes étaient encore exposés à ces failles. Moshe Siman Tov Bustan d'Ox Security a noté que si la panique s'est propagée via les titres de presse, les correctifs réels ont à peine progressé, laissant des actifs critiques sans protection juste au moment où des exploits de preuve de concept apparaissaient dans la nature.

Des scans indépendants effectués par d'autres entreprises de sécurité corroborent cette réponse lente. Censys a rapporté que bien que 11,2 millions de services PHP semblent avoir été corrigés, 32,5 millions affichaient toujours des versions non sûres. Une complication majeure est que 58 % des services PHP détectés, soit plus de 61 millions, ne révélaient pas leurs numéros de version, dont beaucoup exécutent probablement des logiciels non pris en charge. Flare a constaté que près des trois quarts des 2,2 millions d'enregistrements PHP suivis se trouvaient sur des branches n'étant plus prises en charge par le projet PHP. De même, Mallory a identifié environ 1,9 million de services exposés à l'internet, soit 73,5 % de son échantillon, exécutant des versions PHP non prises en charge qui ne reçoivent aucun correctif officiel.

Détails clés

• Ox Security rapporte que 93,6 % des systèmes restaient exposés aux vulnérabilités PHP2Shell cinq jours après la divulgation.
• Les vulnérabilités CVE-2026-109618 et CVE-2026-109619 ont un score CVSS de 9,2 et permettent l'exécution de code à distance.
• Les données de Censys montrent que 32,5 millions de services PHP signalent des versions non sûres, tandis que 61,3 millions de services cachent leurs informations de version.
• Les études de Flare et Mallory indiquent qu'environ 73-75 % des services PHP suivis fonctionnent sur des branches non prises en charge sans correctifs officiels.
• Cloudflare a observé que les tentatives d'exploit sont passées de milliers à des millions dans les heures suivant l'annonce publique.
• L'agence américaine Cybersecurity and Infrastructure Security Agency (CISA) a imposé une remédiation pour les agences fédérales avant le 29 octobre 2026.

Contexte

PHP2Shell fait référence à une paire de failles critiques permettant aux attaquants d'exécuter du code arbitraire sur des serveurs utilisant des versions PHP vulnérables. Lorsqu'une vulnérabilité est divulguée, la réponse standard consiste à appliquer un correctif de sécurité fourni par le mainteneur du logiciel. Pour les versions PHP prises en charge, il s'agit souvent d'une mise à jour simple. Cependant, une grande partie de l'internet fonctionne sur des anciennes versions PHP en fin de vie qui ne reçoivent plus de mises à jour de sécurité de la part du projet PHP. Dans ces cas, les administrateurs ne peuvent pas simplement corriger le logiciel ; ils doivent mettre à niveau l'environnement PHP entier, ce qui nécessite souvent de tester la compatibilité des applications et de travailler avec les fournisseurs pour assurer la stabilité. Cette complexité ralentit considérablement les efforts de remédiation par rapport à une correction simple.

Pourquoi c'est important

Pour les équipes gérant des infrastructures auto-hébergées, la prévalence des versions PHP non prises en charge présente un risque opérationnel sévère. Si vos serveurs utilisent une branche PHP obsolète, vous ne pouvez pas compter sur une simple mise à jour de paquet pour corriger CVE-2026-109618 ou CVE-2026-109619. Au lieu de cela, vous faites face à un projet de migration complexe qui peut casser les applications existantes. Le retard dans la correction signifie que les attaquants disposent d'une large fenêtre pour compromettre les systèmes avant que les défenses ne soient renforcées. Comme l'a observé Matthew Prince, PDG de Cloudflare, les tentatives d'exploit ont augmenté de milliers à des millions dans les heures suivant l'annonce, indiquant que des bots automatisés scannent déjà les cibles vulnérables.

La situation est encore compliquée par le fait que de nombreuses organisations ignorent qu'elles utilisent des logiciels non pris en charge. Avec 58 % des services PHP ne divulguant pas leurs numéros de version, il est difficile d'évaluer la véritable ampleur de l'exposition. Les mandats gouvernementaux, tels que la date limite de la CISA pour les agences fédérales américaines, soulignent la gravité de la menace, mais les entités du secteur privé doivent gérer proactivement leur propre risque. Ne pas agir pourrait entraîner des violations de données, des interruptions de service ou une prise de contrôle complète du système, comme en témoignent les tentatives confirmées d'exécution de code à distance enregistrées par les chercheurs en sécurité.

Que pouvez-vous faire

• Auditez immédiatement votre inventaire de serveurs pour identifier toutes les instances exécutant PHP, en notant spécifiquement quelle version et quelle branche utilise chaque instance.
• Priorisez la mise à niveau de tout système exécutant des versions PHP non prises en charge vers une version actuellement supportée, même si cela nécessite une refonte des applications.
• Appliquez les correctifs de sécurité officiels à tous les systèmes exécutant des versions PHP prises en charge pour traiter CVE-2026-109618 et CVE-2026-109619.
• Mettez en œuvre des pare-feu d'applications web ou des systèmes de détection d'intrusion pour bloquer les motifs d'exploit connus associés à PHP2Shell.
• Envisagez de mettre hors ligne temporairement les systèmes non critiques ou très vulnérables si la correction ou la mise à niveau immédiate n'est pas réalisable.
• Surveillez les journaux pour détecter les signes de tentatives d'exécution de code à distance, telles que des lancements de processus inhabituels ou des connexions réseau inattendues provenant des processus du serveur web.