Oracle a publié une alerte de sécurité concernant CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités PHP regroupées sous l’appellation PHP2Shell, qui peuvent permettre l’exécution de code à distance sans authentification. Le score CVSS v3.1 le plus élevé pour ces vulnérabilités est de 9,8.
PHP2Shell : risques et score CVSS
Ces deux failles identifiées par CVE-2026-109618 et CVE-2026-109619 sont présentées collectivement comme PHP2Shell et comportent un risque d’exécution de code à distance sans authentification. Le niveau de gravité maximal communiqué, selon la base CVSS v3.1, est 9,8.
Recommandations et ressources
Oracle recommande vivement à ses clients d’appliquer sans délai les correctifs de sécurité disponibles. Les clients Oracle doivent se référer à l’avis Security Alert Advisory pour des indications détaillées, publié à l’adresse https://www.oracle.com/security-alerts/alert-cve-2026-109618.html. L’avis sera mis à jour au fur et à mesure de la disponibilité de correctifs pour d’autres produits.
