PHP2Shell désigne deux vulnérabilités critiques d'exécution de code à distance (RCE) dans PHP, référencées sous les numéros CVE-2026-109618 et CVE-2026-109619. Elles obtiennent toutes deux un score de 9,2 selon le CVSS v4.0, et chacune d'entre elles peut permettre à un attaquant non authentifié d'exécuter du code sur un serveur traitant des requêtes PHP. Le site Cloudflare indique que ces vulnérabilités ont déjà commencé à être exploitées.
PHP a publié des correctifs le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions antérieures ne sont plus prises en charge et ne bénéficieront plus de mises à jour en amont. Aikido publie gratuitement des images de conteneurs PHP corrigées pour toutes les branches de version allant de la 5.5 à la 8.5, à l'exception de la 8.0, avec les correctifs PHP2Shell rétroportés dans la version que vous utilisez déjà.
Si vous n’avez pas encore appliqué le correctif PHP2Shell, faites-le dès maintenant. Si vous utilisez PHP 8.2 ou une version plus récente, passez à la version 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 et suivez les étapes décrites dans notre article consacré à PHP2Shell. Aikido Les images couvrent la plupart des anciennes versions que PHP ne met plus à jour ; vous pouvez donc y appliquer le correctif sans avoir à passer au préalable à une branche prise en charge.
Pourquoi utiliser les images « Aikido » pour PHP2Shell ?
La migration d’une application d’une version majeure de PHP à une autre prend du temps, et une application héritée fonctionnant sous PHP 5.6 ou 7.4 ne peut pas passer à la version 8.2 du jour au lendemain. Les images « Aikido » vous permettent de rester sur votre branche de version actuelle. Lorsque le développeur en amont ne propose pas de correctif, nous rétroportons les correctifs PHP2Shell vers la version que vous utilisez, de sorte que la balise conserve son numéro de version et que vous n’ayez pas à porter votre application au préalable.
Pour les branches prises en charge, les images correspondent aux versions corrigées en amont ; la mise à jour se résume donc à modifier l'image de base dans votre Dockerfile.
Images disponibles
Aikido Les images sont disponibles gratuitement sur le registre public Amazon Elastic Container Registry (ECR) de l'Aikido , à l'adresse public.ecr.aws/aikido-dev/php. Repérez votre version ci-dessous et récupérez le dernier correctif correspondant à la variante que vous utilisez.
Aikido publie également des versions corrigées de certains correctifs antérieurs, notamment les versions 8.2.34, 8.3.35, 8.4.26 et 8.5.11, afin que vous puissiez conserver exactement la version que vous utilisez. Parcourez la liste complète des balises dans la galerie publique ECR.
Comment extraire une image
Les balises combinent la version et la variante. Pour PHP 8.5 avec FPM :
docker pull public.ecr.aws/aikido-dev/php:8.5.12-fpm
La variante de base utilise la balise de version simple, telle que php:8.2.35. Dans un fichier Dockerfile, modifiez la ligne FROM :
EXTRAIT DE public.ecr.aws/aikido-dev/php:7.4.33-apache
Pour obtenir la dernière version corrigée d'Alpine sans version spécifique, utilisez php:alpine ou php:fpm-alpine.
Une fois que vous avez changé d'image
L'application d'un correctif à un conteneur en cours d'exécution expose l'image ; il faut donc reconstruire toutes les images qui utilisent PHP, puis les redéployer. Ensuite :
- Redémarrez les workers PHP-FPM et Apache, ou redéployez les conteneurs, puis vérifiez qu'aucun worker n'utilise plus l'ancienne version.
- Conservez la valeur « session.upload_progress.enabled=0 » dans le fichier php.ini ou dans la configuration de votre pool PHP-FPM. Il s’agit d’une fonctionnalité héritée rarement utilisée, qui constitue une voie d’exploitation confirmée de la vulnérabilité CVE-2026-109619.
- Testez votre URL publique à l'aide de l'outil gratuit de vérification PHP2Shell proposé par Aikido, qui indique si le site est vulnérable à PHP2Shell.
- Recherchez les signes d'une intrusion. Notre article « PHP2Shell » répertorie les éléments à vérifier.
Si votre version ne figure pas encore dans la liste
PHP 8.0 ne dispose pas encore d’image « Aikido », et certaines branches de version ne proposent que quelques variantes, comme la 8.1. Nous préparons actuellement d’autres images. En attendant que la vôtre soit disponible, effectuez une mise à jour vers une version corrigée de PHP ou demandez à votre fournisseur un correctif rétroporté. L’équipe de sécurité de PHP a également publié des rétroportages minimaux du code source pour les versions PHP 7.4 à 8.1, à l’intention des équipes qui compilent à partir du code source.
Pour plus d'informations sur les CVE et les mesures d'atténuation temporaires si vous ne pouvez pas encore effectuer la mise à jour, consultez notre article sur PHP2Shell.
Pour découvrir étape par étape comment vérifier si vous êtes concerné par cette vulnérabilité et corriger PHP2Shell, notamment à l'aide d'images « Aikido », regardez la vidéo ci-dessous.
