Skip to content
Hacker Posts

PHP2Shell : 250 000 sites en .fr annoncent une version vulnérable

Un scan de Next sur les 4,6 millions de domaines .fr trouve au moins 250 000 serveurs affichant une version de PHP vulnérable à PHP2Shell (CVE-2026-109618/109619). Patchez.

Publié le 3 min de lecture
cvephprcefrance

Près de deux semaines après la livraison d'urgence corrigeant PHP2Shell, le média Next a scanné l'intégralité du .fr et trouve au moins 250 000 serveurs qui annoncent encore une version de PHP vulnérable. Si vous opérez du PHP exposé, l'inventaire n'est plus une option.

Le chiffre et la méthode

Next a interrogé la liste open data de l'AFNIC — 4,6 millions de domaines en .fr en septembre 2026 — à raison d'environ 10 domaines par seconde, soit cinq jours de scan depuis son propre serveur. Le résultat : environ 1,2 million de domaines n'ont renvoyé aucun statut HTTP, 2,6 millions ont répondu sans exposer de version, et près de 500 000 serveurs ont révélé leur version de PHP dans l'en-tête. Sur ce demi-million, au moins 250 000 affichent une version vulnérable.

C'est un plancher, pas un plafond : les serveurs qui masquent leur version n'ont pas été comptés, et un numéro de version ne dit pas si un correctif a été rétroporté par la distribution.

Les failles PHP2Shell

PHP2Shell désigne deux RCE critiques publiées le 21 octobre 2026, notées 9,2 en CVSS v4.0 :

Le CERT-FR a émis l'alerte CERTFR-2026-ALE-014. Les correctifs sont dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — voir notre couverture de la publication. Une troisième faille, CVE-2026-115560, a été signalée depuis ; l'éditeur juge son exploitation peu probable et prévoit un correctif au prochain cycle.

Seules les branches 8.2 à 8.5 reçoivent des mises à jour officielles, alors que, selon Next, la faille remonterait à PHP 5.4 (2012) : les serveurs en fin de support n'auront pas de correctif amont.

Exploitation observée

L'exploitation n'est pas théorique. La CISA a ajouté les deux CVE à son catalogue KEV. L'Unit 42 de Palo Alto Networks signale des attaques contre des interfaces PAN-OS exposées, et Dream Research décrit une campagne enchaînant PHP2Shell avec une escalade de privilèges du noyau Linux pour obtenir un accès root sur 25 serveurs.

Que faire

  1. Mettez PHP à jour vers 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (ou supérieur) sur tout serveur exposé.
  2. Vérifiez la date de build, pas seulement le numéro de version : une distribution peut avoir rétroporté le correctif sous un ancien numéro.
  3. Masquez la version de PHP (expose_php = Off) — ça ne corrige rien, mais ça retire le serveur des scans de masse comme celui de Next.
  4. Si vous êtes en PHP ≤ 8.1, vous êtes hors support amont : migrez, ou isolez le service et placez-le derrière un filtrage applicatif.

Contexte

Le scan de Next est exactement ce qu'un éditeur de news isolé ne produit pas : une mesure originale du parc exposé en France, pas une reprise d'avis. Le constat est brutal — deux semaines après un correctif critique largement relayé, un quart de million de serveurs .fr annoncent toujours une version vulnérable. L'écart entre « patch disponible » et « patch appliqué » reste le vrai terrain de jeu des attaquants.

Articles liés