La CISA exige des correctifs urgents pour les vulnérabilités PHP2Shell

L'agence américaine de cybersécurité et de protection des infrastructures (CISA) a ajouté deux vulnérabilités critiques, baptisées « PHP2Shell », à son catalogue de vulnérabilités exploitées (KEV). Identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ces failles permettent à des attaquants non authentifiés d'exécuter du code arbitraire sur des serveurs, avec un score de criticité CVSS de 9,2.

Des chercheurs en sécurité, dont Adel Karimi, ont confirmé l'existence d'attaques réelles ciblant des serveurs utilisant Apache mod_php. En raison de l'utilisation massive de PHP pour les sites web, ces vulnérabilités exposent un grand nombre de systèmes directement connectés à internet.

La CISA a imposé une directive aux agences civiles fédérales américaines exigeant une mise à jour des systèmes avant le 29 octobre. L'agence recommande également aux administrateurs de procéder à une analyse approfondie des systèmes pour détecter tout signe d'intrusion préalable à l'application du correctif.

Le projet PHP a publié des correctifs le 21 octobre pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Pour les systèmes ne pouvant être mis à jour immédiatement, la CISA suggère de suspendre les services concernés ou de renforcer la protection via des pare-feu d'applications web.