Vulnérabilité critique dans PHP (php2shell) : si vous exposez PHP par un tunnel, mettez à jour

Ce qui a été divulgué

Le 21 octobre 2026, le projet PHP a publié un avis de sécurité concernant deux vulnérabilités dans le cœur du langage : CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 (CVSS v4.0). Les éditeurs ont surnommé ce duo php2shell.

Les deux permettent l'exécution de code à distance sans authentification, avec les privilèges du processus du serveur web. Autrement dit : l'attaquant n'a besoin ni d'identifiant, ni de mot de passe, ni de session valide — atteindre votre PHP suffit.

Toutes les versions de 5.4 à 8.5.11 sont concernées. Les correctifs sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et antérieurs ne reçoivent aucun correctif du projet.

Pourquoi cela compte si vous utilisez SuperDMZ

Soyons directs, car c'est la partie qui nous concerne. Le tunnel ne crée pas la vulnérabilité — elle était déjà dans votre PHP. Ce que fait le tunnel, c'est mettre fin à l'obscurité qui protégeait cette machine. Une application qui ne répondait qu'à votre réseau local répond maintenant à une adresse publique, et les scans automatisés trouvent une adresse publique en quelques minutes.

Aujourd'hui, 141 des 165 tunnels actifs de la plateforme sont en mode public — 55 sur 67 tunnels HTTP et 86 sur 98 TCP. C'est un choix légitime et beaucoup de gens veulent exactement cela. C'est aussi la raison d'être de cet avis.

Comment vérifier ce que vous exécutez

php -v

Une réserve importante que la plupart des avis omettent : sur Debian, Ubuntu et dérivés, le numéro de version ne change pas lorsque la distribution applique le correctif. Notre propre serveur web affiche PHP 8.5.4 et est déjà corrigé, car le correctif est arrivé dans la révision du paquet (8.5.4-0ubuntu1.5), non dans une nouvelle version de PHP. Sur ces systèmes, ne vous fiez donc pas à php -v. Interrogez le gestionnaire de paquets :

apt list --upgradable | grep php
apt-get changelog php8.3-common | head

Si le changelog mentionne CVE-2026-109618, ce paquet est le correctif. Sous Windows, macOS, dans une image Docker ou avec un PHP compilé depuis les sources, le numéro de version est le bon signal — comparez-le aux quatre versions corrigées ci-dessus.

Si vous ne pouvez pas mettre à jour aujourd'hui

Voici ce que nous pouvons offrir et qu'un avis générique ne peut pas : passez votre tunnel en mode authentifié. Dans le panneau, sur le tunnel, changez le mode d'accès de public à authentifié. L'adresse exige alors une clé avant que le moindre trafic n'atteigne votre machine, ce qui met votre PHP hors de portée des scans non ciblés pendant que vous planifiez la mise à jour.

C'est une mesure temporaire, pas un correctif. La faille reste sur votre machine, et quiconque détient la clé l'atteint toujours. Mais elle vous donne la fenêtre.

Ce que nous avons fait de notre côté

Notre propre infrastructure était concernée et a déjà été mise à jour :

• Panneau SuperDMZ — PHP mis à jour et service redémarré le 21 octobre.
• Serveur web (sites et outils) — mis à jour le même jour.
• Nœuds des tunnels — non concernés : ils tournent en Go, sans PHP.
• Serveur de messagerie — image du conteneur remplacée par la version avec le PHP corrigé.

Nous avons aussi ajouté une vérification quotidienne à notre supervision qui lit le registre officiel des vulnérabilités et le canal de sécurité de chaque distribution que nous utilisons, afin que le prochain cas ne dépende pas de quelqu'un qui remarque un e-mail. Celui-ci, nous l'avons appris à la dure : nous avons su pour php2shell parce qu'un fournisseur nous a écrit.

Sources officielles

Ne nous croyez pas sur les détails techniques — et ne cliquez pas sur les liens des e-mails traitant de sécurité. Saisissez l'adresse vous-même :

• php.net/archive/2026.php — l'avis du projet lui-même et les annonces de versions.
• nvd.nist.gov — recherchez CVE-2026-109618 et CVE-2026-109619.

Pour une question sur votre cas précis, répondez via le canal de support du panneau. Nous ne demandons jamais de mot de passe et n'envoyons jamais de lien à cliquer.