Alerte de sécurité PHP : la réponse des produits Stormshield

Contexte des vulnérabilités PHP

Deux vulnérabilités critiques impactant la technologie web PHP ont été rendues publiques le 21 octobre 2026. Il s'agit des CVE-2026-109618 et CVE-2026-109619, et se sont vues attribuer un score CVSS4.0 de 9,2/10. PHP étant utilisé par environ 70% des sites web exposés publiquement sur Internet, le potentiel d'attaque est donc gigantesque. Des preuves de concept ont rapidement été publiées. Nous avons également constaté des tentatives d'exploitation dans la nature via nos honeypots immédiatement après la publication des failles. Il convient donc d'appliquer une attention particulière à ces vulnérabilités dont la jonction est intitulée PHP2Shell.

Détails techniques des vulnérabilités PHP

La CVE-2026-109618 correspond à une erreur de gestion de mémoire insuffisante (Out-Of-Memory - OOM). Ceci intervient notamment lors du traitement de téléversement de fichiers via le Content-Type multipart/form-data dans une requête HTTP. Si la mémoire limite, telle que configurée dans le php.ini, est atteinte, alors le traitement est interrompu avant que certaines structures internes ne soient correctement initialisées. Il en résulte un nettoyage incorrect des données et une corruption mémoire. Cela peut être exploité afin d'effectuer une exécution de code à distance (Remote Code Execution - RCE).

Pour la CVE-2026-109619, il s'agit d'une vulnérabilité de type Use-after-Free (UaF) sur certaines variables globales utilisées sur le traitement de requêtes. Il existe des situations où, si une interruption intervient sur la requête, alors les données pointées par certaines variables globales sont effacées, mais la variable n'est pas réinitialisée. Elle peut donc toujours accéder à une section mémoire dont la durée de vie est normalement terminée. Cette incohérence peut également conduire à une corruption exploitable et à l'exécution de code.

Versions impactées par les vulnérabilités PHP

Les versions concernées sont les suivantes :

• Toutes les versions antérieures à 8.2.34 (incluse),
• Version 8.3 jusqu'à la version 8.3.35 (incluse),
• Version 8.4 jusqu'à la version 8.4.26 (incluse),
• Version 8.5 jusqu'à la version 8.5.11 (incluse).

Moyens de protection fournis par Stormshield

Stormshield Network Security

Une signature IPS a été publiée sur les firewalls Stormshield Network Security (SNS) le 23 octobre 2026, permettant de détecter et bloquer des tentatives d'exécution de code PHP contenues dans les uploads de fichiers de type HTTP multipart/form-data. Et ce via les principaux chemins d'attaques exploités qui ont été observés. La signature fonctionne donc via l’analyse du trafic HTTP, qui doit donc être déchiffré lors de son inspection.

Cette signature est :

• http:mix:374 → Détection de l'exploitation d'une vulnérabilité non authentifiée dans PHP (CVE-2026-109618, CVE-2026-109619)

Recommandations

La première recommandation est la mise à jour de PHP vers une version corrective :

Bien qu'il n'existe actuellement aucune solution de mitigation complète, certaines actions peuvent également être entreprises afin de réduire votre exposition à ces vulnérabilités. Il est important de préciser que leur application n'empêche pas pour autant PHP de traiter les requêtes malveillantes. La meilleure réponse consiste donc à mettre le service à jour.

• Désactiver le suivi de progression des uploads de fichiers dans php.ini :
  • session.upload_progress.enabled = 0
  • Attention, si votre site web emploie des barres de progression de téléchargement, ceci les rendra inopérantes.
• Bloquer les requêtes de type multipart/form-data avant qu'elles ne soient traitées par PHP.
  • Configuration à effectuer sur un reverse proxy ou un WAF.
  • Vérifier auparavant que cela n'altère pas le comportement de votre site web.

Modélisation de l'attaque

MITRE ATT&CK

IOC

Dès la publication des vulnérabilités, nos honeypots ont enregistré des tentatives d'exploitations, à des fins diverses. Voici le récapitulatif de nos observations :