FAILLE CRITIQUE PHP — CVE-2026-109618 / CVE-2026-109619

Votre site est-il exposé à PHP2Shell ?

Collez l'adresse de votre site, l'analyse externe se lance toute seule — 100 % gratuit, sans accès à vos systèmes. Vous obtenez un verdict clair et un plan d'action, même sans rien y connaître.

Périmètre et limites

Test 100 % externe et passif (13 requêtes simples maximum : page d'accueil, pages info, statuts serveur, dépôt Git, page d'erreur, hygiène, confirmation CMS — sans authentification, sans scan de ports, sans injection, sans crash provoqué). Chaque constat est accompagné de sa preuve observée.

Limite assumée : si le site masque sa version PHP (bonne pratique), le verdict est « à qualifier en interne » avec un niveau de confiance limité — c'est normal. Seul un contrôle interne tranche : version exacte (php -v), correctif présent, redémarrage complet des workers.

Message prêt à envoyer à votre prestataire

Copiez-collez tel quel à votre hébergeur ou développeur.

Bonjour,
Dans le cadre de la faille critique PHP2Shell (CVE-2026-109618 / CVE-2026-109619, CVSS 9.2, RCE sans login), merci de confirmer pour notre site :
1) la version PHP exacte en production (php -v) ;
2) que le correctif est appliqué (8.2.35+ / 8.3.36+ / 8.4.27+ / 8.5.12+, ou backport avec ces CVE au changelog) ;
3) que TOUS les workers ont été redémarrés après le patch (PHP-FPM + Apache/Nginx) avec date/heure ;
4) qu'aucun fichier info.php / phpinfo.php n'est exposé.
Merci de répondre par écrit.

Fiche faille : PHP2Shell

Références: CVE-2026-109618 · CVE-2026-109619
Gravité: CVSS 9.2 — Critique, exécution de code à distance sans authentification
Versions affectées: PHP 5.4.0 à 8.5.11
Versions corrigées: 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 (21/10/2026)
Cause racine: Gestion de session.upload_progress en PHP
Vecteurs documentés: injection de fichier de session · corruption mémoire (use-after-free de tas) · désérialisation par incohérence de gestionnaire
Précondition: session.upload_progress activé + point d'envoi de fichiers sur l'application

C'est exactement ce que ce test vérifie à distance : version exposée, réglage upload_progress visible, formulaires d'envoi de fichiers.

Test intrusif (crash-test) : pourquoi pas ici

Les scanners de niveau recherche vont plus loin : ils envoient des requêtes piégées pour faire planter un worker PHP non corrigé et observer le crash. C'est le seul test qui tranche à 100 % à distance.

Nous ne le lançons pas depuis cette page publique, pour trois raisons : un crash provoqué = un déni de service contre le site testé (illégal sans autorisation du propriétaire), un formulaire public testerait aussi des sites tiers, et un hébergeur mutualisé bannirait notre adresse IP en quelques minutes.

Pour vos propres serveurs, confiez ce test intrusif à votre prestataire ou à un auditeur, avec autorisation écrite de l'exploitant, après le patch et le redémarrage complet.

Références officielles

Références : CVE-2026-109618 · CVE-2026-109619 (CVSS 9.2, RCE sans authentification)
Avis : CERT-FR AVI-1359 / ALE-014 · CERT-EU 2026-018 (21/10/2026)

Paniqué ? Faites juste ça

Sauvegardez (fichiers + base) avant de toucher à quoi que ce soit.
Ne bidouillez rien vous-même : transmettez le message ci-dessus à votre prestataire.
Ne cliquez sur aucun « patch miracle » reçu par mail ou SMS : les correctifs viennent de votre hébergeur, pas d'un lien.