L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté deux vulnérabilités PHP2Shell à son catalogue des vulnérabilités exploitées connues le 26 octobre 2026. Elle confirme ainsi l'exploitation de failles qui peuvent permettre à des attaquants d'exécuter du code sans authentification sur les déploiements PHP concernés.
L'alerte de la CISA identifie CVE-2026-109618 et CVE-2026-109619. Toutes deux affichent un score CVSS v4.0 de 9,2. Selon Siemens, les failles ont été divulguées le 21 octobre, mais l'ajout au catalogue n'établit pas à quel moment l'exploitation a commencé.
The Hacker News rapporte que PHP a publié des correctifs le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et que les agences fédérales ont jusqu'au 29 octobre pour les appliquer. La CISA indique que sa directive contraignante de gestion des vulnérabilités s'applique aux agences civiles du pouvoir exécutif fédéral (FCEB), tout en encourageant les autres organisations à traiter en priorité les vulnérabilités du catalogue.
Ce que montrent les preuves d'exploitation
Les vulnérabilités concernent la gestion, par PHP, de la mémoire utilisée pour les requêtes web. Selon l'avis technique d'Arista, CVE-2026-109618 peut laisser la mémoire de requête non initialisée après une erreur de mémoire insuffisante, ce qui permet au nettoyage de la requête de la lire ou d'agir sur elle. CVE-2026-109619 concerne un état interne qui peut continuer à pointer vers la mémoire de requête après sa libération. Ces deux conditions peuvent conduire à une exécution de code à distance.
The Hacker News cite Adel Karimi, responsable de la détection et de la réponse chez Perplexity, qui confirme une exécution de code réussie sur des systèmes-leurres (honeypots) le 24 octobre. Karimi signale un vidage de cookie décodé de 800 KiB et indique qu'une adresse de fonction, dérivée de ce vidage à l'aide des décalages de l'exploit public, est apparue dans une charge utile d'exécution ultérieure.
Cette constatation a une limite précise : Karimi précise que la chaîne démontrée utilisait une configuration mod_php à un seul worker, volontairement favorable. Elle ne mesure pas la fiabilité de l'exploit avec d'autres nombres de workers, d'autres builds de PHP ou d'autres applications. La divulgation de mémoire et l'exécution observées établissent donc ce qui s'est produit sur ces systèmes-leurres, sans établir le même résultat pour chaque déploiement concerné.
Le statut propre à chaque produit modifie l'action requise
L'avis d'Arista, mis à jour le 26 octobre, indique qu'aucun produit ou plateforme logiciel d'Arista n'est encore affecté. Le service cloud CloudVision CUE et Arista Edge Threat Management étaient concernés, mais ont déjà reçu les versions corrigées de PHP. Arista indique que les services cloud concernés ont été corrigés et que les clients n'ont aucune action à entreprendre. La société précise également ne pas avoir connaissance d'une exploitation malveillante dans les réseaux de ses clients.
Siemens identifie un périmètre différent dans l'avis SSA-566512 : toutes les versions de RUGGEDCOM APE1808 exécutant Palo Alto Networks PAN-OS dans les branches 10.2, 11.1, 11.2, 12.1 et 12.2. Selon Siemens, les clients doivent contacter le support pour obtenir les informations sur les correctifs et les mises à jour, et appliquer les contournements décrits dans les notifications de sécurité amont de Palo Alto Networks.
Cette exposition ne s'étend pas à tous les produits Siemens. Son avis logiciel distinct, mis à jour le 26 octobre, répertorie comme non concernés des produits tels que Teamcenter, Solid Edge, Capital et les produits Opcenter spécifiés, au motif qu'ils n'utilisent pas PHP.
Correctifs Brotli distincts pour les builds Windows de PHP
The Hacker News rapporte également que la PHP Foundation a publié, au plus tard le 26 octobre, les builds Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1, afin de corriger une écriture hors limites dans le décodeur Brotli, CVE-2026-111497. Ces builds traitent une vulnérabilité supplémentaire, en plus des deux failles PHP2Shell exploitées.
Selon la déclaration de la PHP Foundation citée dans cet article, le décodeur vulnérable est accessible via l'extension cURL de PHP lorsque la décompression automatique des réponses HTTP est activée. Ce paramètre est désactivé par défaut dans cURL, mais les applications et les bibliothèques clientes HTTP peuvent l'activer.
L'avis de Microsoft pour CVE-2026-111497 décrit l'impact sur .NET comme une élévation de privilèges via le réseau, et l'indiquait comme non exploitée à la date de publication initiale. Pour .NET et ASP.NET Core, la décompression Brotli est également désactivée par défaut : les applications doivent activer explicitement la décompression des requêtes ou des réponses, ou appeler directement les API de décompression Brotli. La confirmation d'exploitation de la CISA concerne les deux vulnérabilités PHP2Shell, et non cette faille Brotli distincte.
