PHP fait l’objet d’une alerte de sécurité critique : deux vulnérabilités RCE (CVE-2026-109618 et CVE-2026-109619, CVSS v4.0 9.2) permettent une exécution de code distante non authentifiée au niveau du compte web worker. PHP recommande une mise à jour immédiate vers les versions corrigées pour chaque branche 8.x afin d’éliminer la vulnérabilité.
Impact et versions affectées
Les vulnérabilités peuvent conduire à une exécution de code distante non authentifiée en tant que web worker. L’impact est classé élevé sur les trois piliers de la triade CIA : confidentialité (accès à toutes les données traitées par le worker), intégrité (modification/destruction de données et possibilité d’implanter des portes dérobées persistantes) et disponibilité (perturbation totale des opérations).
Composant concerné : php-src. Versions affectées : PHP php-src < 8.2.35, < 8.3.36, < 8.4.27 et < 8.5.12. Versions corrigées : 8.2.35, 8.3.36, 8.4.27 et 8.5.12. La mise à jour vers la version corrigée correspondant à votre série 8.x est l'unique atténuation complète recommandée. Pour les environnements antérieurs à PHP 8.1, l'équipe de sécurité PHP a fourni des backports minimaux en source pour PHP 7.4, 8.0 et 8.1 afin d'aider ceux qui compilent depuis les sources. Le bulletin de sécurité PHP mentionne des atténuations partielles qui réduisent l'exposition mais ne remplacent pas une mise à jour complète.
Mesures recommandées
PHP Security recommande de mettre à jour immédiatement PHP vers la version patchée de votre branche : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12. Si vous utilisez une version antérieure à 8.1 et compilez à partir des sources, appliquez les backports fournis par l’équipe PHP. N’appliquez pas les atténuations partielles comme substitut au correctif.
Informations complémentaires et évolutions récentes
UPDATE (22 oct.) : TrendAI a publié un outil en ligne nommé PHP2Shell — See the Risk. Own the Response — permettant d’identifier une exposition potentielle à PHP2Shell et d’obtenir des conseils d’experts TrendAI.
UPDATE (23 oct.) : PHP a publié un réglage session.upload_progress.enabled=0 au moment de la publication de la première CVE le 21 octobre 2026. Le 23 octobre 2026, PHP a également publié un avis pour CVE-2026-115560, une vulnérabilité RCE distincte dans la gestion de la progression des téléchargements de session qui partage la même atténuation que CVE-2026-109619. Le bulletin indique qu’aucune action supplémentaire n’est nécessaire si vous avez déjà appliqué le réglage recommandé lors de la publication antérieure du 21 octobre 2026.
L’équipe PHP gère CVE-2026-115560 dans le cycle de publication régulier parce que l’exploitation RCE nécessite un changement d’exécuteur de sérialisation des sessions (session serialize handler) à l’exécution dans le code applicatif — un scénario considéré comme peu probable — rendant la détection au niveau réseau difficile jusqu’à la publication complète de l’avis conjointement avec la prochaine version.
Protections et détections TrendAI
TrendAI a publié des protections et des éléments de visibilité pour compléter les correctifs du fournisseur :
– Vision One Cyber Risk Overview : informations mises à jour accessibles via Cyber Risk Exposure Management > Cyber Risk Overview > Exposure Overview.
– Vision One Threat Intelligence Hub : ajout d’informations incluant TTPs, conseils de gestion des risques et requêtes de threat hunting.
– Vision One XDR Threat Investigation : tableaux de travail (workbenches) à surveiller, notamment (niveau High) “PHP based Command Execution Attack”, “Possible Webshell Activity with Base64 Encoded Payload via PHP”, “Web Shell Credential File Access via PHP CGI Process” ; et (niveau Medium-Low) “Potential Command Execution via PHP Webshell”, “Shell Command Execution via PHP-FPM”. D’autres workbenches listés incluent “Vulnerable PHP Container Image Tag” et “PHP Worker Process Spawning Shell Or Command Interpreter”.
Règles et filtres déployés par TrendAI :
– Vision One Endpoint Security IPS Rules (incluant Server and Workload Security et Deep Security) : Rule 1012749 – PHP Application Remote Code Execution Vulnerability ; Rule 1012754 – PHP Application Remote Code Execution Vulnerability (CVE-2026-109619 & 2026-109618).
– Vision One TippingPoint : Filter 48514 (Security Policy) – Sec Optimized enabled ; Filter 48534 – HTTP: PHP Core Upload Progress Use-After-Free Vulnerability.
– Vision One Network Detection and Response : Rule 6021 – CVE-2026-109618 – PHP Zend HashTable Remote Code Execution Exploit – HTTP (Request) ; Rule 6023 – CVE-2026-109619 – PHP File Upload Exploit (HTTP) – Request.
– Vision One Container Security (falco rules) : TM-00000171 – (T1610) Vulnerable PHP Container Image Tag (medium) ; TM-00000170 – (T1190) PHP Worker Process Spawning Shell Or Command Interpreter (high).
TrendAI précise avoir lancé une évaluation urgente des produits et services TrendAI potentiellement impactés. Plus d’informations sont disponibles dans l’avis client intitulé : “CUSTOMER ADVISORY: Critical PHP Vulnerabilities and Impact on TrendAI Products (CVE-2026-109618 and CVE-2026-109619)”.
