Faille PHP « php2shell » : ce que cela change pour nos clients

Depuis le 21 octobre 2026, une grande partie du web est occupée à corriger deux failles critiques de PHP. Vous en avez peut-être entendu parler dans vos propres équipes TI. Voici ce qui s'est passé et, surtout, ce que cela signifie pour les clients de Byrnu.

En bref : Byrnu n'utilise pas PHP. Nos produits ne sont pas exposés à ces failles, et une surveillance continue nous avise en temps réel de tout nouveau CVE du même genre.

Ce qui s'est passé

Le 21 octobre 2026, le projet PHP a publié des correctifs d'urgence pour deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, surnommées « php2shell » :

elles permettent l'exécution de code à distance sans authentification : une personne malveillante peut prendre le contrôle d'un serveur sans posséder de compte ;
elles obtiennent chacune la cote 9,2 (CVSS 4.0), donc critique ;
elles touchent toute installation PHP qui sert des requêtes web : Apache avec mod_php, PHP-FPM, php-cgi, FrankenPHP et LiteSpeed ;
les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; toute version antérieure est vulnérable.

Pourquoi tant de sites sont touchés

PHP fait fonctionner une proportion considérable du web : sites d'entreprise, commerce en ligne, systèmes de gestion de contenu, extensions et plugiciels de toutes sortes. Une faille dans le cœur du langage atteint donc à la fois les sites que l'on connaît et ceux que l'on a oubliés : un vieux site de campagne, un outil interne, un composant embarqué dans un autre logiciel. C'est pourquoi la CISA recommande d'abord de dresser l'inventaire de tout ce qui utilise PHP, puis de corriger en priorisant ce qui est exposé à Internet.

Ce que cela signifie pour nos clients

Byrnu n'utilise pas PHP. Nos produits ne reposent pas sur cette technologie : les failles « php2shell » ne les concernent pas, et vous n'avez aucune action à poser de votre côté pour vos services Byrnu.

Une surveillance continue, pas une réaction après coup

Ne pas utiliser une technologie ne dispense pas de la surveiller. Chez Byrnu :

une surveillance continue s'assure que nos produits ne sont jamais touchés par ce type de problème ;
des notifications en temps réel nous parviennent dès qu'un nouveau CVE de ce format est publié, c'est-à-dire une faille critique dans un composant du web, qu'elle nous concerne ou non ;
chaque avis est évalué par notre équipe et classé selon qu'il touche ou non notre pile technologique.

Ainsi, la question « sommes-nous touchés ? » trouve sa réponse en quelques minutes, et non en quelques jours.

Et vos autres systèmes ?

Même si vos services Byrnu ne sont pas concernés, d'autres systèmes de votre organisation peuvent l'être. Si vous hébergez des sites ou des applications PHP, voici les gestes recommandés :

Inventorier

Repérez tous les systèmes qui utilisent PHP, y compris ceux intégrés comme composant d'un autre logiciel.

Corriger

Passez à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou appliquez les paquets corrigés de votre fournisseur de système d'exploitation. Priorisez ce qui est exposé à Internet.

Atténuer en attendant

Si la mise à jour doit attendre, désactivez session.upload_progress.enabled dans php.ini. Un pare-feu applicatif web peut offrir une protection temporaire.

Surveiller

Soyez attentif aux processus PHP qui lancent des interpréteurs de commandes ou téléchargent des outils. Les systèmes qui ne peuvent pas être mis à jour, notamment PHP 8.1 et antérieur, devraient être mis hors ligne.

ℹ️ Besoin d'un coup de main ?

Notre équipe peut vous aider à évaluer votre exposition. Communiquez avec nous.