Sur cette page
php2shell est le nom que les chercheurs ont donné à deux failles critiques de PHP, rendues publiques le 21 octobre 2026. Elles pouvaient permettre à un attaquant d'exécuter son propre code sur un serveur web, et des sites du monde entier se sont précipités pour se mettre à jour. Chez Vodlix, nos systèmes étaient protégés et corrigés avant que la nouvelle n'éclate, et nos clients n'ont rien eu à faire.
Qu'est-ce que php2shell ?
php2shell désigne deux bugs liés dans la façon dont PHP gère la mémoire et les erreurs, référencés sous CVE-2026-109618 et CVE-2026-109619. Dans certaines conditions, un attaquant pouvait s'en servir pour exécuter du code sur un serveur sans se connecter. La PHP Foundation les a classées critiques et a publié des correctifs le 21 octobre 2026.
La divulgation est allée vite. Les tentatives d'exploitation se sont comptées en millions en quelques heures, et certains sites gouvernementaux et commerciaux ont été mis hors ligne par précaution, comme l'a rapporté MediaNama.
Comment Vodlix a-t-il géré la situation ?
Nous étions protégés sur trois fronts avant que quoi que ce soit ne puisse arriver.
Quoi | Ce que cela fait |
|---|---|
Vodlix Shield | Filtre les requêtes entrantes en amont de nos systèmes |
Surveillance par IA | Surveille notre trafic à la recherche de schémas d'attaque |
Le correctif | Appliqué avant que les failles ne soient rendues publiques |
Zain Jamil et notre équipe ont corrigé PHP dans notre middleware, la seule partie de Vodlix qui utilise PHP, avant la publication officielle. Chaque cloud Vodlix, et donc chaque plateforme client, est à jour. Les clients n'ont eu aucune action à entreprendre.
Et ensuite ?
Nous avons prévu de renforcer encore nos systèmes, afin que la prochaine faille de ce type rencontre davantage de couches de protection avant de s'approcher. Sur une plateforme managée, les mises à jour de sécurité sont notre travail, pas le vôtre.
Que faire si vous exécutez PHP vous-même ?
Si l'un de vos sites exécute PHP en dehors de Vodlix, agissez dès aujourd'hui.
Recensez chaque serveur et chaque offre d'hébergement qui exécute PHP, anciens sites compris.
Installez la mise à jour de sécurité pour votre version de PHP, ou demandez à votre hébergeur de le faire.
Lisez les avis de vos fournisseurs, comme le bulletin de sécurité AWS.
Si un site tourne sur une version de PHP qui ne reçoit plus de mises à jour de sécurité, planifiez la montée de version dès maintenant.
Vous préférez que la sécurité soit gérée pour vous ?
Si vous préférez que des mises à jour comme celle-ci soient prises en charge pour vous, découvrez ce que Vodlix gère pour votre plateforme ou demandez une démo. Pour toute question de sécurité, écrivez à [email protected].
Questions fréquentes
Qu'est-ce que php2shell ?
php2shell désigne deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, rendues publiques le 21 octobre 2026. Dans certaines conditions, elles pouvaient permettre à un attaquant d'exécuter du code sur un serveur web sans se connecter.
Les clients Vodlix ont-ils été touchés ?
Aucune action n'a été nécessaire de la part des clients Vodlix. Nous avons appliqué le correctif avant que les failles ne soient rendues publiques, et chaque cloud Vodlix, et donc chaque plateforme client, est à jour.
Qu'est-ce que Vodlix Shield ?
Vodlix Shield filtre les requêtes entrantes en amont de nos systèmes, et notre surveillance par IA analyse le trafic à la recherche de schémas d'attaque.
Que dois-je faire si j'exécute PHP moi-même ?
Installez la mise à jour de sécurité pour votre version de PHP, ou demandez à votre hébergeur de le faire, et lisez les avis de vos fournisseurs. Planifiez une montée de version pour tout site tournant sur une version de PHP qui ne reçoit plus de mises à jour de sécurité.
Comment signaler un problème de sécurité à Vodlix ?
Écrivez à [email protected].
Aimez-vous ce que vous avez juste lu ?
Abonnez-vous pour recevoir les dernières nouvelles, stratégies et insights sur les entreprises de membres directement dans votre boîte de réception.
