Des chercheurs en sécurité de l'entreprise Wiz affirment avoir découvert plusieurs vulnérabilités critiques dans le cœur du moteur PHP, le code qui fait tourner environ 70 % des sites web dans le monde. Ces failles, regroupées sous deux CVE dont la gravité atteint 9,2 sur l'échelle CVSS, pourraient permettre à des attaquants non authentifiés d'exécuter du code à distance ou de lire la mémoire sensible des processus sur les serveurs concernés.
L'équipe PHP a publié des correctifs le 21 octobre 2026 dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon Notebookcheck. Wiz indique que toutes les versions de PHP sorties depuis dix ans — jusqu'à la version 5.4 — sont touchées par au moins l'un de ces problèmes, et recommande fortement une mise à jour immédiate.
Ce que PHP2Shell expose réellement
Il s'agit de failles de sécurité mémoire dans la façon dont PHP gère les erreurs fatales pendant le traitement des requêtes, en particulier les erreurs de mémoire insuffisante, selon Wiz. Une requête qui se termine de façon inattendue peut laisser PHP dans un état interne corrompu, que les attaquants peuvent ensuite exploiter.
Wiz décrit un double impact : l'exécution de code à distance, parfois avant même que le code de l'application ne s'exécute, et une fuite mémoire de type Heartbleed. Cette mémoire exposée pourrait contenir des mots de passe, des jetons d'authentification, des clés API et des certificats appartenant à d'autres requêtes ou au serveur lui-même.
- Touche toutes les versions de PHP sorties ces dix dernières années, depuis la 5.4
- Deux CVE, gravité jusqu'à CVSS 9,2
