Deux vulnérabilités critiques du moteur d’exécution de PHP, nommées PHP2Shell, permettent à une personne non autorisée de compromettre les sites Web développés avec cette technologie, d’exécuter du code à distance (RCE) et d’accéder à des ressources privées.

Toutes les versions du moteur de PHP sont concernées. Les administrateurs des sites affectés par ces vulnérabilités sont invités à mettre à jour leur environnement sans délai ou à rendre inaccessibles les sites jusqu’au déploiement du correctif.

Étant donné l’extrême popularité de la technologie PHP, des millions de sites Web sont concernés par ces vulnérabilités. Tous les sites basés sur WordPress sont par exemple concernés.

L’annonce de ces vulnérabilités et la publication du correctif étaient prévues pour le 21 octobre 2026 après-midi. L’existence de ces vulnérabilités a toutefois été partagée la veille par certains acteurs, ce qui conduit de nombreuses organisations ou gouvernements à rendre temporairement innacessibles leurs sites jusqu’à la publication et le déploiement du correctif.

Liens