📰 Source : Huntress (blog Rapid Response), publié le 21 octobre 2026 par John Hammond. L’article couvre la fuite prématurée de deux vulnérabilités critiques PHP et la réponse d’urgence de l’équipe PHP.

🔍 Contexte

Le 20 octobre 2026, un post sur Hacker News a révélé l’existence de deux vulnérabilités critiques PHP (CVE-2026-109618 et CVE-2026-109619) avant leur divulgation coordonnée prévue le jeudi 22 octobre. Le post a été supprimé, mais des captures d’écran ont circulé sur les réseaux sociaux. La société watchTowr a confirmé l’authenticité de la fuite. L’équipe PHP a alors avancé la publication des correctifs au mercredi 21 octobre.

🛡️ Vulnérabilités

CVE-2026-109618 (CVSS v4.0 : 9.2) :

  • Faille RCE dans la gestion des erreurs de mémoire insuffisante de PHP
  • Si PHP manque de mémoire lors de l’initialisation des données de requête, les données partiellement initialisées sont traitées comme valides lors du nettoyage
  • Permet une exécution de code à distance non authentifiée en tant que compte du worker web
  • RCE complète validée via HTTP contre mod_php avec des limites mémoire par défaut

CVE-2026-109619 (CVSS v4.0 : 9.2) :

  • Faille RCE causée par la rétention d’état spécifique à une requête après libération de la mémoire sous-jacente
  • Peut mener à un heap use-after-free non authentifié, divulgation mémoire et RCE
  • Exploitable si le même worker traite une requête ultérieure avant réinitialisation

🎯 Périmètre affecté

Toutes les installations PHP servant des requêtes web sont à risque, notamment :

  • PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP, LiteSpeed
  • Applications basées sur PHP : WordPress, Drupal, Joomla, Magento
  • Panneaux de contrôle : cPanel, Plesk
  • Versions PHP 5, 6, 7 et 8 potentiellement impactées

🔧 Correctifs publiés

Le 21 octobre 2026 à 9h30 ET, l’équipe PHP a publié :

  • PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
  • Des backports minimaux pour PHP 7.4, 8.0 et 8.1 (pour compilation depuis les sources)
  • PHP 8.1 et antérieurs ne reçoivent pas de mises à jour officielles

🚨 Indicateurs d’exploitation

L’exploitation se manifeste typiquement par des processus enfants suspects lancés par PHP :

  • Shells : sh, bash, cmd.exe, powershell.exe
  • Interpréteurs : python, perl
  • Outils réseau : curl, wget, nc, certutil.exe
  • Patterns reverse shell : /dev/tcp/, fsockopen, mkfifo
  • Commandes de reconnaissance : whoami, id, uname -a, ipconfig

Huntress n’avait pas observé d’exploitation active dans sa base partenaires au 21 octobre à 10h ET, mais d’autres sources signalaient des attaques émergentes.

📋 Type d’article

Article de réponse rapide (Rapid Response) publié par Huntress, visant à informer les équipes de sécurité sur la nature des vulnérabilités, les versions corrigées, les indicateurs d’exploitation et les actions de détection à mettre en place.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
  • T1059.001 — Command and Scripting Interpreter: PowerShell (Execution)
  • T1505.003 — Server Software Component: Web Shell (Persistence)
  • T1082 — System Information Discovery (Discovery)
  • T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)

IOC

  • CVEs : CVE-2026-109618 — NVD · CIRCL
  • CVEs : CVE-2026-109619 — NVD · CIRCL
  • Chemins : /dev/tcp/

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 21 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • process-watcher (tool)

🟢 Indice de vérification factuelle : 75/100 (haute)

  • ✅ huntress.com — source reconnue (liste interne) (20pts)
  • ✅ 14082 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 3 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://www.huntress.com/blog/php2shell-leaked-critical-php-vulnerabilities