Administrateurs de sites Web, préparez-vous. Des correctifs pour ce que l’on considère comme des vulnérabilités d’une gravité inhabituelle devraient être déployés dans un peu plus de 12 heures pour PHP, un langage de programmation qui alimente les sites Web et les applications Web partout dans le monde.
Les responsables de PHP ont annoncé lundi qu’ils prévoyaient de publier des correctifs pour deux vulnérabilités, toutes deux avec un indice de gravité de 9,2 sur 10 possibles.
En attente de PHP2Shell
“Tous les utilisateurs de PHP sont encouragés à se préparer dès maintenant afin de pouvoir effectuer la mise à niveau dès que la version est disponible”, indique l’avis. “Nous nous réservons le droit de publier plus tôt si les détails de l’une ou l’autre vulnérabilité devenaient publics ou si des preuves d’exploitation active apparaissaient dans la nature.”
Les responsables ont publié l’avis suite à la fuite de prétendus détails, qui n’ont pas encore été confirmés. Le rapport montrait une vidéo d’un outil d’exploitation baptisé PHP2Shell exécutant du code sur des serveurs Web exécutant :
- WordPress 7.1.3
- Bénéfice 1.46.2
- phpBB 3.3.17
- Magento 2.4.9
- Joomla 6.2.0
- Laravel 13.36.0
- Laravel 8.83.29
- Symphonie 8.1.9
- Drupal 11.4.10
- WHMCS 9.0.9
Tout ce qui précède utilise PHP. Une vidéo illustrant l’outil a été republiée ici.
Les tentatives pour localiser le rapport non confirmé ont échoué, mais la société de sécurité watchTowr a déclaré qu’elle prétendait affecter toutes les versions de PHP à partir de PHP 5, publiée en 2004. La société de sécurité a poursuivi en affirmant avoir confirmé que les vulnérabilités, identifiées comme CVE-2026-109618 et CVE-2026-109619, sont réelles.
