---

📌 Aperçu

PHP2Shell désigne une paire de vulnérabilités zero-day/critiques découvertes dans le moteur central de PHP (CVE-2026-109618 et CVE-2026-109619). Ces vulnérabilités permettent à des attaquants non authentifiés d'exécuter du code arbitraire (RCE) sur des serveurs exécutant des configurations vulnérables de PHP.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ Détails de la vulnérabilité

Paramètre	Détails
Vulnérabilités	CVE-2026-109618 & CVE-2026-109619
Score CVSS v4.0	9.2 (Critique)
Vecteur	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Impact	Exécution de code à distance (RCE) non authentifiée
Logiciel affecté	PHP 5.x, PHP 7.x, PHP 8.0, 8.1, 8.2, 8.3, 8.4

🟣 Analyse des menaces

1. CVE-2026-109618 : Corruption de la mémoire heap dans les filtres de flux

• Mécanisme : Atteinte à la sûreté mémoire déclenchée lors du traitement interne des tampons au sein des filtres de flux PHP.
• Vecteur d'exploitation : La manipulation des paramètres de flux permet à un attaquant de contrôler les adresses mémoire et d'obtenir une exécution de code.

2. CVE-2026-109619 : Défaut logique dans la gestion des archives PHAR

• Mécanisme : Défaut dans la logique d'analyse et de désérialisation des wrappers d'archives PHP (.phar).
• Vecteur d'exploitation : Des entrées d'en-tête contrôlées par l'attaquant conduisent à l'invocation arbitraire de fonctions.

---

📸 Démo

---

🛡️ Atténuation et remédiation

1. Mettre à niveau les paquets PHP

La correction la plus efficace consiste à mettre immédiatement à jour votre serveur vers les derniers binaires PHP corrigés :

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. Solutions de contournement d'urgence (pour les environnements EOL)

Si votre application repose sur des versions en fin de vie (EOL) (par exemple, PHP 7.x ou 8.0) qui ne reçoivent pas de correctifs de sécurité officiels :

• 🟣 Désactiver les filtres de flux / fonctions dangereuses : Modifiez votre fichier php.ini :

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / Filtrage réseau : Mettez en place des règles strictes de pare-feu d'application web (WAF) pour bloquer les requêtes contenant des protocoles de flux sérialisés (php://filter/, phar://).
• 🟣 Isolation réseau : Isolez les serveurs hérités derrière des réseaux internes/VPN stricts.

---

🔍 Détection & Vérification

Pour vérifier si votre serveur exécutant PHP est potentiellement vulnérable :

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 Contribution

Les contributions, mises à jour des menaces et règles de détection (YARA / Sigma) sont les bienvenues !

1. Forkez le dépôt
2. Créez une branche de fonctionnalité (git checkout -b feature/sigma-rule)
3. Validez vos modifications (git commit -m 'Add Sigma detection rule')
4. Poussez vers la branche (git push origin feature/sigma-rule)
5. Ouvrez une Pull Request

---

📜 Avertissement

Ce dépôt est créé uniquement à des fins éducatives, défensives et de recherche. Les mainteneurs ne sont pas responsables d'un usage abusif ou d'activités illégales réalisées avec les informations fournies ici.