Deux failles critiques de PHP, le langage de WordPress, ont fuité avant leur correctif

Le 20 octobre, un message publié sur le forum Hacker News annonce la divulgation prochaine de deux failles critiques dans PHP, le langage qui fait tourner une grande partie du Web, de WordPress aux boutiques Magento. Le message disparaît vite, mais des captures d'écran circulent déjà. Le soir même, l'équipe de sécurité de PHP change son calendrier.

Dans une annonce publiée le même jour sur php.net, elle prévoit une mise à jour de sécurité le mercredi 21 octobre à 14 h UTC, soit 16 h à Paris. Elle corrigera deux vulnérabilités jugées critiques, notées 9,2 sur 10 (CVSS v4). Selon watchTowr et CERT-EU, elles portent les identifiants CVE-2026-109618 et CVE-2026-109619. PHP n'a donné aucun détail technique et dit se réserver le droit de publier plus tôt si les détails deviennent publics ou si une exploitation est observée.

Un embargo rompu avant l'heure

La société de sécurité watchTowr a confirmé que les failles sont réelles et dit avoir reproduit la première. Son patron, Benjamin Harris, explique que la divulgation coordonnée était prévue pour le jeudi 22 octobre. Selon watchTowr, il s'agit de failles d'exécution de code à distance, c'est-à-dire qu'un attaquant pourrait faire exécuter ses propres commandes au serveur.

D'autres éléments ont circulé sans être vérifiés. Selon Sansec, une capture d'un outil d'attaque baptisé « PHP2Shell », attribué à Calif.IO, affirme fonctionner sur toutes les versions depuis PHP 5.4.0. Huntress signale qu'une courte vidéo de démonstration a été publiée puis retirée. Au 20 octobre, ni watchTowr ni Huntress n'avaient observé d'attaque réelle.

Les vieilles versions de PHP pourraient rester sans correctif

Les versions touchées ne sont pas officiellement connues : PHP les publiera avec le correctif. watchTowr pense que PHP 5, 6, 7 et 8 sont concernés, et CERT-EU écrit que les failles « pourraient » toucher toutes les versions depuis PHP 5. Or seules les branches 8.2 à 8.5 sont encore maintenues. Sansec en déduit que les serveurs en 8.1 ou plus ancien ne recevront pas de correctif officiel, et s'attend à des attaques massives dans le quart d'heure qui suivra la publication.

Que faire d'ici à 16 heures ?

La faille se trouve dans PHP lui-même, pas dans le code de votre site : c'est donc le serveur qu'il faut mettre à jour. Les recommandations de CERT-EU et de Huntress se recoupent :

• Recenser tous les PHP en service, y compris ceux qui sont intégrés à des équipements, à des panneaux d'hébergement (cPanel, Plesk) ou à des applications métier.
• Prévenir votre hébergeur si vous ne gérez pas le serveur, pour qu'il applique la mise à jour dès sa sortie.
• Traiter d'abord les serveurs exposés sur Internet, et suivre les paquets corrigés publiés par votre distribution Linux.
• Pour les versions obsolètes : migrer, ou à défaut retirer les serveurs d'Internet ou les placer derrière un VPN. CERT-EU suggère d'isoler les applications exposées si la correction immédiate est impossible.
• Surveiller les processus PHP (php-fpm, php-cgi) ou Apache qui lanceraient un shell, curl ou wget : c'est le signe typique d'une exploitation.

Les sites Drupal et Magento sortent déjà d'alertes récentes, comme les deux failles critiques de Drupal ou celle de Magento notée 10 sur 10. Cette fois, c'est la couche du dessous qui est touchée. Il restera à lire, cet après-midi, la liste des versions corrigées et la nature exacte des failles.