Exploitée par des piratesCVSS 8.1Votre codeVotre entreprise
CVE-2026-109619 · PHP
« PHP2Shell »
Langage de programmation qui fait tourner une grande partie des sites web · Au catalogue des failles exploitées depuis le 26 octobre 2026
Le risque
Un attaquant peut prendre le contrôle du serveur web à distance en exploitant des données mal réinitialisées.
Que faire
Mettez à jour PHP vers 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou la version corrigée de votre branche
À faire côté dev
Mettez à jour PHP vers une version corrigée (8.2.35, 8.3.36, 8.4.27 ou 8.5.12) sans attendre, car les failles PHP2Shell sont exploitées activement ; surveillez aussi la troisième faille PHP non corrigée et la faille Brotli, dont le correctif n'existe que dans le code source.
- PHP 8.2PHPcorrigé en 8.2.35
Correctif publié le 21 octobre. Mettez à jour via le gestionnaire de paquets de votre distribution ou l'image PHP officielle.
- PHP 8.4PHPcorrigé en 8.4.27
La version 8.4.26 est vulnérable. Recherchez aussi d'éventuelles traces d'intrusion antérieures à la mise à jour.
Pas encore corrigé, à surveiller
- Brotli (C) : Correctif présent dans le code source depuis février, mais pas dans une version publiée. Node.js embarque son propre binaire Brotli.
Extrait automatiquement des articles du sujet. Vérifiez les versions auprès de l’éditeur avant de déployer.
D’après le sujet PHP2Shell : vous n'avez pas encore appliqué le correctif ? Suivez ces étapes dès maintenant pour ...
Autres articles sur le Signal Clair
Détails techniques : CVE-2026-109619 sur cve.org (nouvel onglet)
54 sources suivies par le Signal Clair en parlent.