php2shell — CVE-2026-109618 / CVE-2026-109619

Avis critique (CVSS v4.0 : 9.2 - Critique) : Le 20 octobre, les détails de deux failles d'exécution de code à distance (RCE) pré-authentification dans le cœur de PHP ont fuité en ligne avant la divulgation coordonnée. L'exploitation permet l'exécution arbitraire de commandes directement depuis le serveur web.

---

Table des matières

• Vue d'ensemble
  • Cause racine
  • Vérification et cibles
• Versions de PHP affectées
• Paysage des menaces et recommandations de détection
  • Indicateurs comportementaux et processus enfants suspects
  • Recommandation de surveillance
• Actions à mener pour les organisations
• Preuve de concept (PoC)
  • Architecture et étapes de l'exploit
  • Exigences de la cible
  • Utilisation et paramètres
  • Profils et offsets
• Atténuation et correctif du code source
  • 1. Atténuation par configuration (mesure d'urgence immédiate)
  • 2. Script de correctif rapide automatisé
  • 3. Correctif du code source (session-upload-progress-counters.patch)
  • 4. Règles personnalisées du WAF Cloudflare
  • 5. Configuration Caddyfile de FrankenPHP
  • 6. Configuration de Lighttpd
  • 7. Atténuation Apache (ModSecurity et .htaccess)
• Avertissement

---

Vue d'ensemble

php2shell désigne deux vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619) affectant des fonctionnalités du cœur de PHP. Le principal vecteur démontré est un use-after-free (UAF) sur le tas dans le mécanisme de progression d'upload de session du cœur de PHP, menant à l'exécution de code arbitraire (zend_call_function / system()).

• Gravité : Critique (CVSS v4.0 : 9.2)
• Versions impactées : Des rapports indiquent que les versions PHP 5, 6, 7 et 8 pourraient être affectées. Les correctifs sont principalement attendus pour les branches PHP 8 actuellement supportées, laissant les versions en fin de vie (EOL) (PHP 5.x, 7.x, 8.0, 8.1) exposées sans correctifs officiels de l'éditeur.
• Suivi sectoriel : Confirmé par des chercheurs en sécurité (watchTowr a reproduit CVE-2026-109618 ; surveillance par Huntress et Florian Roth / process-watcher).

Cause racine

Le gestionnaire de progression d'upload de PHP (php_session_rfc1867_callback dans ext/session/session.c) stocke deux pointeurs de bucket zval * bruts (post_bytes_processed et current_file_bytes_processed) directement dans des structures HashTable actives.

Lors du traitement de la requête :

1. Déclenchement : Une requête POST multipart standard active le suivi de progression avec les valeurs de configuration par défaut (session.upload_progress.enabled = 1).
2. Libération : Un cycle de mise à jour de progression relit les données de session. La fonction zend_hash_update() détruit l'arbre de données précédent via le destructeur zval_ptr_dtor, libérant le bloc mémoire.
3. Réappropriation : La mémoire du bucket libéré est récupérée. Le pointeur pendant est redirigé vers des structures zend_fcall_info et zend_internal_function forgées.
4. Exécution : PHP appelle zend_call_function(), entraînant l'exécution arbitraire de commandes système.

Vérification et cibles

• Confirmé sur des builds php-src standard (y compris les versions 8.4.4 et 8.2.34).
• Utilise les offsets de symboles (--syms) entre zval_ptr_dtor et zend_call_function pour s'adapter aux dispositions binaires propres à chaque distribution (par exemple Debian Bookworm, Ubuntu Noble, Ubuntu Jammy).

---

Versions de PHP affectées

Le tableau suivant récapitule les versions de PHP affectées par CVE-2026-109618 et CVE-2026-109619, ainsi que leur statut de support et de correctif :

Branche PHP	Statut	Versions affectées	Version corrigée / sécurisée	Notes
PHP 8.5	Prise en charge (Active)	< 8.5.12	8.5.12	Version de sécurité d'urgence publiée
PHP 8.4	Prise en charge (Active)	< 8.4.27	8.4.27	Version de sécurité d'urgence publiée
PHP 8.3	Prise en charge (Active)	< 8.3.36	8.3.36	Version de sécurité d'urgence publiée
PHP 8.2	Prise en charge (Sécurité uniquement)	< 8.2.35	8.2.35	Version de sécurité d'urgence publiée
PHP 8.1	Fin de vie (EOL)	Toutes les versions 8.1.x	Aucun correctif officiel (EOL)	Définir session.upload_progress.enabled = Off ou utiliser les rétroportages ELS/distribution
PHP 8.0	Fin de vie (EOL)	Toutes les versions 8.0.x	Aucun correctif officiel (EOL)	Prise en charge officielle terminée ; l'atténuation par configuration est obligatoire
PHP 7.x	Fin de vie (EOL)	Toutes les versions 7.0 - 7.4	Aucun correctif officiel (EOL)	La logique du cœur ext/session est vulnérable ; atténuation ou mise à niveau urgente requise
PHP 5.x	Fin de vie (EOL)	5.4.0+ (avec suivi de progression RFC1867)	Aucun correctif officiel (EOL)	Prise en charge officielle terminée ; isoler l'hôte ou désactiver la progression d'upload

[!WARNING] Les versions PHP 8.1 et antérieures en fin de vie (EOL) ne reçoivent pas de correctifs de sécurité officiels de la part de la PHP Foundation. Pour ces environnements, appliquez immédiatement session.upload_progress.enabled = Off ou recompilez PHP depuis les sources à l'aide du correctif source C fourni.

---

Paysage des menaces et conseils de détection

L'exploitation de php2shell se manifeste généralement par des processus enfants anormaux lancés directement par les processus workers PHP (php-fpm, php-cgi, php-cgi.exe, httpd, apache2).

Indicateurs comportementaux et processus enfants suspects

Surveillez et déclenchez des alertes sur les processus workers PHP exécutant :

• Shells interactifs : /bin/sh, /bin/bash, cmd.exe, powershell.exe
• Interpréteurs de scripts : python, perl
• Utilitaires réseau / de transfert : curl, wget, nc, certutil.exe
• Modèles courants de reverse shell : /dev/tcp/, fsockopen, mkfifo
• Commandes de reconnaissance immédiate : whoami, id, uname -a, ipconfig

Recommandation de surveillance

Pour les environnements web sous Linux dépourvus d'agent de détection sur les terminaux, des outils comme le gratuit process-watcher de Florian Roth peuvent être exécutés en mode observation afin de signaler en temps réel le lancement inhabituel de processus enfants.

---

Actions à mener pour les organisations