Deux jours après PHP2Shell, PHP alerte sur une nouvelle faille qu’il juge « improbable »

Vous avez mis à jour vos serveurs PHP mercredi ? Le projet a lancé une nouvelle alerte ce vendredi 23 octobre. Dans un court avis « informatif » publié sur php.net, l’équipe de sécurité de PHP décrit une autre faille d’exécution de code à distance, CVE-2026-115560, qui permettrait à un attaquant de lancer du code sur un serveur web. Elle juge pourtant ce scénario « improbable » et ne publiera aucun correctif d’urgence.

Le 21 octobre, comme nous l’expliquions la veille, PHP avait corrigé en urgence deux failles bien plus graves, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Elles permettent de prendre la main sur un serveur sans même avoir de compte. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 les corrigent. Par contre, ces versions ne règlent pas la nouvelle faille, que PHP traite à part.

Une faille qui demande trois réglages bien précis

La nouvelle faille passe par les sessions, la mémoire qu’un site garde de votre visite, comme votre connexion ou votre panier. PHP enregistre ces données dans un format choisi par le réglage session.serialize_handler. D’après PHP, une application n’est exposée que si elle réunit trois conditions :

• sa configuration règle session.serialize_handler sur php_binary ou php_serialize
• son code repasse ce réglage sur php en cours d’exécution avec la fonction ini_set(), avant d’ouvrir la session avec session_start()
• le suivi de progression des envois de fichiers (session upload progress) est toujours activé

Seule la dernière condition est courante, puisque cette fonction, qui affiche une barre de progression pendant un envoi de fichier, est activée par défaut. Changer de format de session en cours de route est bien plus rare. PHP précise d’ailleurs qu’une application qui ne le fait jamais peut garder la fonction allumée sans risque par ce chemin. Aucune exploitation de CVE-2026-115560 n’a été signalée, et PHP n’a encore donné ni les versions touchées, ni celles qui recevront le correctif, ni de note de gravité.

Le projet ne dit pas non plus si cette faille a la même cause que CVE-2026-109619. La question se pose, car la parade proposée ce vendredi figurait déjà mercredi parmi les mesures contre la faille PHP2Shell. Ceux qui l’ont appliquée le 21 octobre et l’ont laissée en place n’ont donc rien d’autre à faire. Ceux qui ont simplement procédé à la mise à jour de PHP, devront appliquer cette parade.

Ce qu’il faut faire sur vos serveurs PHP

Installez d’abord PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 si ce n’est pas fait. Contre PHP2Shell, seule la mise à jour règle le problème, et PHP prévient que ses parades réduisent l’exposition sans rendre un serveur sûr.

Ajoutez ensuite session.upload_progress.enabled=0 dans le php.ini, dans la configuration de PHP-FPM (le gestionnaire qui fait tourner PHP) ou dans celle du serveur web, puis redémarrez tous les processus PHP.

Évitez ini_set() et les fichiers .user.ini, qui s’appliquent trop tard selon PHP. Seules les applications qui affichent une barre de progression pendant les envois perdront cette fonction.

Côté PHP, l’avis complet sur CVE-2026-115560 arrivera avec la prochaine version de maintenance, dont la date n’est pas encore annoncée.

Les attaques en cours visent PHP2Shell

Les attaquants, eux, s’acharnent sur les deux failles corrigées mercredi. C’est ce qu’indiquent les relevés d’Amazon, de Cloudflare ou encore de Wordfence cités par par Thehackernews.

Les failles PHP ont déjà poussé la CNIL, DeviantArt ou OBS à fermer des sites, et des milliers d’autres, des préfectures aux impôts, à se mettre hors ligne en urgence.