Le Centre de sécurité de Tencent Cloud a publié un avis le 21 octobre pour alerter sur la vulnérabilité d’exécution de code à distance PHP php2shell, qui concerne les CVE-2026-109618 et CVE-2026-109619.
Le problème avec cette vulnérabilité, c’est qu’un attaquant n’a besoin ni de se connecter ni de disposer d’un compte : une requête POST multipart spécialement conçue pourrait suffire à provoquer une corruption de mémoire et à obtenir la capacité d’exécuter du code à distance. En théorie, cela pourrait lui permettre de prendre le contrôle total des serveurs concernés. Une faille touchant ainsi le langage lui-même représente une pression considérable pour les activités traditionnelles hébergées dans le cloud.
La Maison-Blanche américaine avait été informée de l’affaire dès le 16 octobre. Elle coordonne ses efforts avec des agences fédérales, des laboratoires d’intégration de systèmes et des opérateurs réseau afin d’accélérer la publication des correctifs et d’évaluer les répercussions sur les systèmes gouvernementaux et les infrastructures critiques. L’intervention simultanée des fournisseurs cloud et du gouvernement montre que le risque est passé du stade de « bug open source ordinaire » à celui de menace pour les infrastructures.
À ce jour, les détails publics concernant les versions touchées et le calendrier officiel des correctifs restent limités. À court terme, le plus raisonnable est de vérifier si ses propres activités dépendent de la pile PHP et de suivre rapidement les consignes de correction des fournisseurs. Il faut voir cet incident comme un bilan de sécurité des infrastructures, et non comme une simple actualité à parcourir puis à oublier.
Le problème avec cette vulnérabilité, c’est qu’un attaquant n’a besoin ni de se connecter ni de disposer d’un compte : une requête POST multipart spécialement conçue pourrait suffire à provoquer une corruption de mémoire et à obtenir la capacité d’exécuter du code à distance. En théorie, cela pourrait lui permettre de prendre le contrôle total des serveurs concernés. Une faille touchant ainsi le langage lui-même représente une pression considérable pour les activités traditionnelles hébergées dans le cloud.
La Maison-Blanche américaine avait été informée de l’affaire dès le 16 octobre. Elle coordonne ses efforts avec des agences fédérales, des laboratoires d’intégration de systèmes et des opérateurs réseau afin d’accélérer la publication des correctifs et d’évaluer les répercussions sur les systèmes gouvernementaux et les infrastructures critiques. L’intervention simultanée des fournisseurs cloud et du gouvernement montre que le risque est passé du stade de « bug open source ordinaire » à celui de menace pour les infrastructures.
À ce jour, les détails publics concernant les versions touchées et le calendrier officiel des correctifs restent limités. À court terme, le plus raisonnable est de vérifier si ses propres activités dépendent de la pile PHP et de suivre rapidement les consignes de correction des fournisseurs. Il faut voir cet incident comme un bilan de sécurité des infrastructures, et non comme une simple actualité à parcourir puis à oublier.