Le projet PHP a publié le 21 octobre 2026 des correctifs d’urgence pour deux failles critiques permettant l’exécution de code à distance sans authentification. Au Maroc, sites publics, CMS et applications métiers reposant sur PHP sont concernés.
Deux failles dans le moteur PHP lui-même
Baptisées « PHP2Shell », les vulnérabilités CVE-2026-109618 et CVE-2026-109619 obtiennent chacune un score de 9,2 sur 10 (CVSS v4.0), selon l’annonce officielle de php.net. Elles se trouvent dans le moteur PHP, et non dans un framework ou un CMS. Toute installation qui traite des requêtes web est donc exposée, quelle que soit l’application.
La première (CVE-2026-109618) exploite un dépassement de la limite mémoire pendant le traitement d’une requête, par exemple lors d’un téléversement de fichier. La seconde (CVE-2026-109619) laisse un état interne survivre à une requête et être réutilisé par la suivante sur le même processus. Selon The Hacker News, un attaquant peut aussi lire la mémoire des processus PHP et récupérer des mots de passe, jetons ou clés d’API.
Sont concernés PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Selon l’équipe PHP, le risque est le plus élevé avec mod_php, où une seule requête suffit, avant même l’exécution du code de l’application.
Une publication avancée après une fuite
La divulgation était prévue sous embargo. Le 20 octobre, une fuite a annoncé l’existence des failles, et le projet PHP a avancé la publication des correctifs au 21 octobre. Le CERT-EU signale que des preuves de concept circulent. Selon les sociétés watchTowr et Cloudflare, citées par The Hacker News, des tentatives d’exploitation ont été observées dès le 21 octobre. Aucune intrusion n’était confirmée à cette date.
Les versions à installer
Le projet PHP a publié une version corrigée pour chaque branche encore maintenue : PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 et PHP 8.2.35.
PHP 8.1 et les versions antérieures ne sont plus maintenues. L’équipe de sécurité de PHP a toutefois publié des correctifs minimaux pour PHP 7.4, 8.0 et 8.1, destinés à ceux qui compilent PHP depuis les sources. Les distributions Linux ont reçu les correctifs en avance et peuvent les intégrer sous un ancien numéro de version : il faut vérifier le changelog du paquet.
Mettre à jour l’application ne suffit pas. Il faut mettre à jour le moteur PHP, puis redémarrer Apache, PHP-FPM et tous les processus PHP.
En attendant le correctif
Le projet PHP et le CERT-EU décrivent des mesures temporaires, qui réduisent l’exposition sans la supprimer :
- désactiver session.upload_progress.enabled dans php.ini ou la configuration du serveur, puis redémarrer les processus ;
- réduire post_max_size et limiter la taille des requêtes au niveau du serveur web ou du proxy ;
- isoler les applications exposées à Internet jusqu’à la mise à jour, comme le recommande le CERT-EU.
Masquer les erreurs PHP n’apporte aucune protection.
Et au Maroc ?
- Un inventaire à faire aujourd’hui. PHP fait fonctionner WordPress, Drupal et de nombreuses applications métiers. Les directeurs des systèmes d’information (DSI) doivent recenser tous leurs serveurs PHP, y compris les sites vitrines, les intranets et les sites confiés à des agences ou à des hébergeurs.
- Les versions anciennes, point faible. Les serveurs encore en PHP 7.x ou 8.1 n’ont pas de mise à jour officielle. Il faut obtenir un correctif auprès de l’éditeur de la distribution ou d’un fournisseur de support étendu, ou migrer. PHP 8.2 arrive lui-même en fin de vie le 31 décembre 2026.
- Des obligations de déclaration. Pour les organismes soumis à la loi 05-20 relative à la cybersécurité, un incident lié à ces failles relève des obligations de déclaration auprès de la Direction générale de la sécurité des systèmes d’information (DGSSI). Une fuite de données personnelles engage aussi la responsabilité du responsable du traitement au titre de la loi 09-08.
- Les hébergeurs à interroger. Les entreprises en hébergement mutualisé doivent obtenir de leur prestataire la confirmation écrite que le correctif est appliqué.
