PHP2Shell : les premières attaques réussies sont confirmées, cinq jours après le correctif
Des serveurs pièges en PHP non corrigé ont été pris en main le 24 octobre. Une troisième faille attend son correctif. En Belgique, les sites sont revenus.
Ce n’est plus une menace théorique. Le samedi 24 octobre 2026, des serveurs pièges installés par le chercheur Adel Karimi ont été pris en main à distance grâce aux failles PHP2Shell : 35 prises de contrôle confirmées sur trois machines qui tournaient avec PHP 8.4.26, une version non corrigée. Son rapport, publié avec les traces réseau et système, montre deux vagues venues de deux adresses, hébergées chez des loueurs de serveurs.
Marcus Hutchins, chercheur chez Expel, y voit « de loin » la confirmation la plus solide d’une exploitation réelle, rapporte BleepingComputer. Jusque-là, les sociétés de sécurité n’avaient observé que des balayages et des attaques qui échouaient.
Cinq jours après le correctif
Les deux failles, CVE-2026-109618 et CVE-2026-109619, permettent d’exécuter du code sur un serveur sans aucun identifiant. Le 21 octobre, leur divulgation précipitée avait poussé des administrations de toute l’Europe à débrancher leurs sites, la Belgique en tête (on en a parlé ICI). Le 22 octobre, la PHP Foundation accusait l’entreprise Chainguard d’avoir brisé l’embargo (on en a parlé ICI).
Les versions corrigées sont sorties le 21 octobre, selon la PHP Foundation. Les pièges d’Adel Karimi montrent ce qu’il en coûte de ne pas les installer : les attaques visaient précisément une version de la veille.
Une troisième faille, sans correctif pour l’instant
Le vendredi 23 octobre, PHP a publié un avis sur une troisième faille, CVE-2026-115560. Elle ne concerne qu’une combinaison rare de réglages et de code, et le projet la traitera dans sa prochaine version ordinaire. En attendant, il conseille de désactiver le suivi de progression des envois de fichiers (le réglage ci-dessus), déjà recommandé contre l’une des deux premières failles. Ceux qui l’ont appliqué le 21 octobre n’ont rien à faire de plus.
En Belgique, les sites sont revenus
Lundi 26 octobre vers 11 h, nous avons vérifié les sites débranchés le 21 octobre. Police.be, le site du Centre pour la cybersécurité Belgique, le SPF Finances, les Affaires étrangères, le SPF Emploi, vlaanderen.be, le Parlement flamand, la VRT, Smartschool et les hôpitaux anversois ZAS répondaient tous normalement.
L’avis du CCB n’avait en revanche pas bougé depuis le 22 octobre à 11 h : il demande d’installer les mises à jour au plus vite et, à défaut, de mettre hors ligne les systèmes vulnérables. Il ne mentionnait pas encore les attaques réussies. Le CCB recueille les incidents par son formulaire en ligne et, en cas d’urgence, au 02 501 05 60.
Ce qu’il faut faire
Si vous gérez un site ou une application en PHP, vérifiez la version installée et passez à l’une des versions corrigées. Les sites WordPress, Joomla ou Drupal sont concernés comme les autres : la faille touche PHP lui-même, avant même que le site ne démarre. Chez un hébergeur mutualisé, la mise à jour dépend de lui : demandez-lui la version utilisée, ou choisissez une version corrigée dans votre espace client s’il le permet.
En bref
- Le 24 octobre 2026, des serveurs pièges en PHP 8.4.26 ont été pris en main à distance par les failles PHP2Shell : 35 prises de contrôle confirmées.
- Versions corrigées depuis le 21 octobre : 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- Une troisième faille, rare, attend son correctif ; PHP conseille de désactiver le suivi de progression des envois.
- En Belgique, les sites débranchés le 21 octobre sont revenus ; l’avis du CCB n’était pas encore mis à jour le 26 octobre à 11 h.
Sources : rapport d’Adel Karimi, 24 octobre 2026 ; BleepingComputer, 26 octobre 2026 ; PHP Foundation, 21 octobre 2026 ; actualités de PHP.net, 21 et 23 octobre 2026 ; avis du CCB, mis à jour le 22 octobre 2026.
Cet article…
Le Bien Heureux · Rédaction Capibara · Lundi 26 octobre 2026