PHP2Shell est une famille de vulnérabilités critiques récemment corrigées dans le cœur de PHP, avec une gravité pouvant atteindre CVSS 9,2. Elles peuvent permettre à des attaquants non authentifiés d'exécuter du code ou d'exposer la mémoire sensible des processus. PHP alimente environ 70 % des sites web, dont des plateformes comme WordPress, Drupal et MediaWiki de Wikipédia.
Les chercheurs de Wiz Research, dont Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz, ont travaillé avec Open AI Codex Security (Amy Burnett) et d'autres à une divulgation responsable. Les vulnérabilités se situent dans PHP lui-même, si bien que des sites peuvent être touchés même lorsque leur code applicatif est sûr. Une simple application « Hello World » exécutée sur une version de PHP affectée suffit à être exposée. Les sites utilisant les dernières versions corrigées de PHP sont protégés. L'équipe PHP a réagi rapidement et a travaillé étroitement avec les chercheurs à des correctifs complets.
Les failles se répartissent en deux classes, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619. La première concerne une corruption de mémoire par épuisement, pouvant permettre une exécution de code sans authentification sous l'identité du worker web PHP. La seconde concerne un état global obsolète entre les requêtes, pouvant provoquer une utilisation après libération qui divulgue la mémoire du worker ou exécute du code. Les chercheurs ont démontré une exécution de code à distance avant authentification contre WordPress, Drupal et Joomla à l'aide de leurs dernières images de conteneurs au moment des tests, et ont montré une divulgation de mémoire indépendante de l'application.
Des attaquants pourraient prendre le contrôle des serveurs, accéder à des données sensibles, ou lire des mots de passe, jetons d'authentification, clés d'API et certificats issus d'autres requêtes. La divulgation de mémoire peut aussi voler des données sans avoir d'abord obtenu l'exécution de code, ce qui rend l'activité plus difficile à détecter. La seule solution complète consiste à installer une version corrigée de PHP sur chaque environnement d'exécution, puis à redémarrer Apache, PHP-FPM et tous les workers PHP de longue durée. Mettre à jour une application ne met pas à jour le moteur PHP sous-jacent.
Source: Hacker News · Résumé par HeadlinesBriefing