PHP2Shell est le nom provisoire donn\u00e9 \u00e0 deux vuln\u00e9rabilit\u00e9s PHP annonc\u00e9es comme critiques, CVE-2026-109618 et CVE-2026-109619, que des chercheurs en s\u00e9curit\u00e9 disent pouvoir d\u00e9clencher au moyen de requ\u00eates HTTP forg\u00e9es, jusqu’\u00e0 une ex\u00e9cution de code \u00e0 distance sans authentification. Les \u00e9l\u00e9ments disponibles sont dat\u00e9s dans le futur : il faut donc rev\u00e9rifier les num\u00e9ros de version et les niveaux de gravit\u00e9 aupr\u00e8s de l’avis officiel de PHP et du bulletin de votre distribution Linux avant d’agir ou de les diffuser en interne.<\/p>\n
Ce qui n’est pas en doute, c’est la r\u00e9alit\u00e9 op\u00e9rationnelle de la plupart des PME marocaines : PHP fait toujours tourner une grande partie des sites web, boutiques en ligne, portails clients et outils internes qui font vivre le chiffre d’affaires, et nombre de ces environnements sont anciens, non document\u00e9s et directement accessibles depuis Internet. Ce playbook propose une s\u00e9quence de r\u00e9ponse en quatre phases \u2014 corriger ou contenir, red\u00e9marrer, v\u00e9rifier, traquer \u2014 qu’une \u00e9quipe IT de deux ou trois personnes peut ex\u00e9cuter dans une seule fen\u00eatre de maintenance.<\/p>\n
\nPoints cl\u00e9s<\/strong><\/p>\n
\n
- PHP2Shell d\u00e9signe CVE-2026-109618 et CVE-2026-109619, annonc\u00e9es avec un score CVSS v4.0 de 9,2 et affectant PHP 5.4 et versions ult\u00e9rieures, l’exposition la plus forte concernant les d\u00e9ploiements PHP-FPM, mod_php, CGI, FrankenPHP et LiteSpeed expos\u00e9s \u00e0 Internet.<\/li>\n
- Les versions corrig\u00e9es annonc\u00e9es ne couvrent que les branches support\u00e9es : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions ant\u00e9rieures n’ont aucune version officielle identifi\u00e9e et exigent un isolement, des backports \u00e9diteur ou une migration.<\/li>\n
- Le correctif ne cl\u00f4t pas l’incident. Une simple requ\u00eate POST peut suffire \u00e0 d\u00e9clencher les failles : il faut donc consid\u00e9rer l’exploitation comme possible tant que les journaux et les contr\u00f4les d’int\u00e9grit\u00e9 des fichiers ne disent pas le contraire.<\/li>\n
- V\u00e9rifiez la version de PHP utilis\u00e9e par le trafic de production, pas celle de votre d\u00e9p\u00f4t ni de votre ordinateur portable.<\/li>\n
- Les sources \u00e9tant dat\u00e9es dans le futur, confirmez chaque num\u00e9ro de version aupr\u00e8s de l’avis de s\u00e9curit\u00e9 PHP en vigueur et du bulletin de votre distribution avant de passer \u00e0 l’action.<\/li>\n<\/ul>\n<\/blockquote>\n
Ce que PHP2Shell changerait pour les PME marocaines<\/h2>\n
Selon les informations disponibles, les deux failles touchent les versions de PHP \u00e0 partir de la 5.4, l’exposition op\u00e9rationnelle la plus forte concernant les d\u00e9ploiements PHP-FPM, mod_php, CGI, FrankenPHP et LiteSpeed expos\u00e9s \u00e0 Internet. Toutes deux ont re\u00e7u un score CVSS v4.0 de 9,2, alors que des \u00e9l\u00e9ments divulgu\u00e9s plus t\u00f4t faisaient \u00e9tat d’un score maximal de 10. Cloudflare a publi\u00e9 une synth\u00e8se technique et des recommandations de protection WAF, et Check Point a document\u00e9 la chronologie de la divulgation et l’\u00e9valuation de la gravit\u00e9.<\/p>\n
Les versions corrig\u00e9es annonc\u00e9es sont les suivantes :<\/p>\n
\n\n
\n \nBranche PHP<\/th>\n Version corrig\u00e9e annonc\u00e9e<\/th>\n Cons\u00e9quence op\u00e9rationnelle<\/th>\n<\/tr>\n<\/thead>\n \n PHP 8.5<\/td>\n 8.5.12<\/td>\n Mettre \u00e0 niveau imm\u00e9diatement<\/td>\n<\/tr>\n \n PHP 8.4<\/td>\n 8.4.27<\/td>\n Mettre \u00e0 niveau imm\u00e9diatement<\/td>\n<\/tr>\n \n PHP 8.3<\/td>\n 8.3.36<\/td>\n Mettre \u00e0 niveau imm\u00e9diatement<\/td>\n<\/tr>\n \n PHP 8.2<\/td>\n 8.2.35<\/td>\n Mettre \u00e0 niveau imm\u00e9diatement<\/td>\n<\/tr>\n \n PHP 8.1 et ant\u00e9rieures<\/td>\n Aucune version officielle identifi\u00e9e<\/td>\n Isoler, recourir \u00e0 des backports \u00e9diteur ou migrer<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n La politique de support de PHP accorde un support complet \u00e0 une branche pendant deux ans apr\u00e8s sa version stable, puis une p\u00e9riode de correctifs de s\u00e9curit\u00e9. Une branche non support\u00e9e n’est pas s\u00fbre simplement parce que l’application fonctionne encore ; les versions corrig\u00e9es annonc\u00e9es ne concernent que les branches support\u00e9es. Pour PHP 8.1 et les versions ant\u00e9rieures, les options r\u00e9alistes sont un backport du syst\u00e8me d’exploitation ou d’un \u00e9diteur commercial, une recompilation depuis les sources, ou une migration vers une branche support\u00e9e. Ubuntu a publi\u00e9 sa propre synth\u00e8se des vuln\u00e9rabilit\u00e9s et des correctifs disponibles : c’est l\u00e0 qu’il faut v\u00e9rifier ce que vos serveurs peuvent r\u00e9ellement installer.<\/p>\n
Phase 1 : corriger ou contenir sans d\u00e9lai<\/h2>\n
\n
- Dressez un inventaire.<\/strong> Recensez chaque serveur web, h\u00f4te virtuel, conteneur, r\u00e9partiteur de charge, compte de panneau de contr\u00f4le, t\u00e2che cron et int\u00e9gration SaaS tierce qui ex\u00e9cute PHP. Confirmez l’environnement r\u00e9el avec
php -v<\/code>, les d\u00e9finitions de service PHP-FPM, les manifestes d’images de conteneurs et la configuration du serveur web. Un fichiercomposer.json<\/code> ne prouve pas quel binaire PHP sert le trafic de production.<\/li>\n- Priorisez les services expos\u00e9s.<\/strong> Corrigez d’abord les syst\u00e8mes accessibles depuis Internet, en particulier PHP-FPM et mod_php. Incluez les environnements de pr\u00e9production joignables publiquement, les sous-domaines oubli\u00e9s, les portails d’administration, les installations WordPress, les plateformes e-commerce et les API. Les attaquants scannent l’accessibilit\u00e9, pas l’organigramme.<\/li>\n
- Utilisez des paquets de confiance.<\/strong> Appliquez les mises \u00e0 jour depuis le d\u00e9p\u00f4t du syst\u00e8me d’exploitation, les paquets PHP officiels ou un \u00e9diteur connu. V\u00e9rifiez que la mise \u00e0 jour du paquet modifie bien le binaire en cours d’ex\u00e9cution, et pas seulement une installation de d\u00e9veloppement que personne n’utilise.<\/li>\n
- Si la correction n’est pas possible aujourd’hui, isolez.<\/strong> Retirez les h\u00f4tes vuln\u00e9rables d’Internet, restreignez l’acc\u00e8s par VPN ou liste d’autorisation, placez-les derri\u00e8re un reverse proxy ou un pare-feu applicatif web, et d\u00e9sactivez les points de terminaison PHP inutiles. Ces mesures r\u00e9duisent l’exposition mais ne remplacent pas la mise \u00e0 niveau.<\/li>\n
- Traitez le PHP ancien comme une urgence de migration.<\/strong> Les environnements PHP 5.x, 7.x, 8.0 et 8.1 sont particuli\u00e8rement risqu\u00e9s lorsqu’aucun correctif \u00e9diteur support\u00e9 n’existe. Les recommandations publi\u00e9es mentionnent la d\u00e9sactivation de
session.upload_progress.enabled<\/code> pour certaines installations h\u00e9rit\u00e9es, ou l’application d’un correctif au niveau du code source ; ces contournements de configuration doivent toutefois \u00eatre valid\u00e9s en environnement de test et confirm\u00e9s aupr\u00e8s de l’avis officiel avant d’\u00eatre adopt\u00e9s.<\/li>\n<\/ol>\nLes PME marocaines qui exploitent des boutiques en paiement \u00e0 la livraison doivent consid\u00e9rer les points de terminaison de commande et de gestion des commandes comme des actifs de premier niveau pendant cette phase, car une indisponibilit\u00e9 ou une alt\u00e9ration \u00e0 cet endroit se traduit directement par une perte de chiffre d’affaires et des litiges clients.<\/p>\n
Phase 2 : red\u00e9marrer PHP et le serveur web en s\u00e9curit\u00e9<\/h2>\n
Apr\u00e8s l’installation des paquets, red\u00e9marrez le composant qui charge r\u00e9ellement PHP. Utilisez le nom de service correspondant \u00e0 la branche install\u00e9e :<\/p>\n
sudo systemctl restart php8.3-fpm\nsudo systemctl reload nginx<\/code><\/pre>\nLes d\u00e9ploiements Apache peuvent n\u00e9cessiter un rechargement ou un red\u00e9marrage d’Apache. Les applications conteneuris\u00e9es exigent de remplacer le conteneur ou de red\u00e9ployer l’image, et non de modifier des fichiers dans une instance en cours d’ex\u00e9cution. Consignez la fen\u00eatre de maintenance, les versions des paquets, le nom de l’op\u00e9rateur et tout \u00e9chec de red\u00e9marrage : ce compte rendu devient une preuve si l’incident est examin\u00e9 plus tard.<\/p>\n
Avant de remettre le service en trafic normal :<\/p>\n
\n
- Contr\u00f4lez les journaux de PHP-FPM, du serveur web et de l’application \u00e0 la recherche de nouvelles erreurs.<\/li>\n
- Testez la connexion, le paiement, les t\u00e9l\u00e9versements de fichiers, les appels API, les files d’attente et les t\u00e2ches planifi\u00e9es.<\/li>\n
- Confirmez la connectivit\u00e9 \u00e0 la base de donn\u00e9es et le comportement du cache.<\/li>\n
- Surveillez le CPU, la m\u00e9moire, le nombre de processus, les erreurs HTTP 5xx et la latence.<\/li>\n
- Pr\u00e9voyez un plan de retour arri\u00e8re, mais ne revenez jamais \u00e0 une version vuln\u00e9rable sans avoir d’abord isol\u00e9 le service d’Internet.<\/li>\n<\/ul>\n
Phase 3 : v\u00e9rifier le correctif depuis l’environnement d’ex\u00e9cution<\/h2>\n
Ex\u00e9cutez la v\u00e9rification depuis le serveur et depuis le syst\u00e8me de d\u00e9ploiement, pas depuis le poste d’un d\u00e9veloppeur :<\/p>\n
php -v\nphp --ini\nphp -i | grep -E 'session.upload_progress.enabled|Server API'<\/code><\/pre>\nPour PHP-FPM, v\u00e9rifiez la version expos\u00e9e par le processus web plut\u00f4t que de vous fier uniquement au binaire en ligne de commande. Un point de terminaison de diagnostic temporaire peut r\u00e9v\u00e9ler la version de l’environnement, mais supprimez-le imm\u00e9diatement apr\u00e8s le test : exposer publiquement la configuration PHP cr\u00e9e en soi un risque inutile.<\/p>\n
Confirmez que :<\/p>\n
\n
- La version correspond \u00e0 la version corrig\u00e9e de la branche.<\/li>\n
- Le serveur web est bien connect\u00e9 au socket ou au processus PHP-FPM mis \u00e0 jour.<\/li>\n
- Les anciens processus PHP ont bien quitt\u00e9.<\/li>\n
- Les images de conteneurs et les n\u0153uds d’autoscaling utilisent le digest corrig\u00e9.<\/li>\n
- Les scanners de vuln\u00e9rabilit\u00e9s n’identifient plus le composant concern\u00e9.<\/li>\n
- Les enregistrements de gestion des paquets attestent d’une mise \u00e0 jour r\u00e9ussie.<\/li>\n<\/ul>\n
Les versions corrig\u00e9es annonc\u00e9es sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les \u00e9l\u00e9ments de recherche \u00e9tant dat\u00e9s dans le futur, v\u00e9rifiez ces num\u00e9ros aupr\u00e8s de l’avis de s\u00e9curit\u00e9 PHP en vigueur et du bulletin de votre distribution avant de les publier ou de les appliquer.<\/p>\n
Phase 4 : traquer l’intrusion apr\u00e8s la correction<\/h2>\n
Appliquer le correctif ne prouve pas qu’un syst\u00e8me n’a jamais \u00e9t\u00e9 exploit\u00e9. Les informations publiques rapport\u00e9es indiquent que les failles peuvent \u00eatre d\u00e9clench\u00e9es par une simple requ\u00eate POST et aboutir \u00e0 une ex\u00e9cution de code \u00e0 distance sans authentification ou \u00e0 un acc\u00e8s au shell. Pr\u00e9servez les preuves avant de supprimer des fichiers suspects.<\/p>\n
\n
- Exportez les journaux du reverse proxy, du pare-feu, du serveur web, de PHP-FPM, de l’authentification et de l’audit cloud.<\/li>\n
- Recherchez les requ\u00eates POST inhabituelles, les longueurs de contenu anormales, les param\u00e8tres encod\u00e9s, les codes de statut inattendus et les pics de trafic vers les points de terminaison de t\u00e9l\u00e9versement ou de session.<\/li>\n
- Examinez les r\u00e9pertoires de t\u00e9l\u00e9versement PHP, les r\u00e9pertoires temporaires, les racines web,
\/tmp<\/code>, les t\u00e2ches planifi\u00e9es, les scripts de d\u00e9marrage, les cl\u00e9s SSH et les fichiers r\u00e9cemment modifi\u00e9s.<\/li>\n- Cherchez les web shells, les fichiers PHP inconnus, les r\u00e8gles
.htaccess<\/code> alt\u00e9r\u00e9es, les nouveaux administrateurs, les jetons API inconnus, les connexions sortantes et les processus enfants lanc\u00e9s par PHP.<\/li>\n- Comparez les empreintes des fichiers avec un artefact de d\u00e9ploiement propre ou un d\u00e9p\u00f4t de gestion de versions.<\/li>\n
- Passez en revue les modifications de base de donn\u00e9es, les param\u00e8tres de paiement, les dossiers clients et les journaux d’acc\u00e8s sur la p\u00e9riode qui pr\u00e9c\u00e8de la correction.<\/li>\n
- Renouvelez les secrets applicatifs, les mots de passe de base de donn\u00e9es, les identifiants administrateur, les cl\u00e9s API et les jetons cloud si une compromission est plausible.<\/li>\n
- Reconstruisez les serveurs compromis \u00e0 partir d’images de confiance plut\u00f4t que de vous contenter d’un nettoyage.<\/li>\n<\/ul>\n
Si des \u00e9l\u00e9ments sugg\u00e8rent un acc\u00e8s non autoris\u00e9, d\u00e9connectez ou isolez l’h\u00f4te tout en pr\u00e9servant les preuves volatiles et sur disque, informez la direction et faites appel \u00e0 un prestataire qualifi\u00e9 en r\u00e9ponse \u00e0 incident. Les entreprises marocaines doivent \u00e9galement \u00e9valuer leurs obligations contractuelles, sectorielles et de notification en mati\u00e8re de donn\u00e9es personnelles avec un conseil juridique et les autorit\u00e9s comp\u00e9tentes. Le tableau national au sens large \u2014 du phishing aux ran\u00e7ongiciels visant des organisations locales \u2014 est trait\u00e9 dans l’analyse d’Onyx sur la crise cyberattaques au Maroc et ce qu’elle signifie pour les professionnels<\/a>, un contexte utile pour briefer une direction non technique.<\/p>\n
Checklist PME et points \u00e0 surveiller<\/h2>\n
\n
- Inventorier chaque environnement PHP et son exposition.<\/li>\n
- Corriger les branches support\u00e9es avec des paquets de confiance.<\/li>\n
- Isoler les syst\u00e8mes h\u00e9rit\u00e9s qui ne peuvent pas \u00eatre corrig\u00e9s.<\/li>\n
- Red\u00e9marrer PHP et le serveur web, et consigner la fen\u00eatre de maintenance.<\/li>\n
- V\u00e9rifier la version utilis\u00e9e par le trafic de production.<\/li>\n
- Tester de bout en bout les fonctions critiques pour l’activit\u00e9.<\/li>\n
- Pr\u00e9server les journaux et traquer l’exploitation.<\/li>\n
- Renouveler les secrets et reconstruire les syst\u00e8mes en cas de compromission suspect\u00e9e.<\/li>\n
- Documenter les d\u00e9cisions, les horodatages, les preuves et l’impact client.<\/li>\n<\/ul>\n
Deux points m\u00e9ritent votre attention dans les prochaines semaines. D’abord, confirmez le statut de l’avis directement aupr\u00e8s du projet PHP, de votre distribution Linux et de tout \u00e9diteur de panneau de contr\u00f4le dont vous d\u00e9pendez, car les \u00e9l\u00e9ments disponibles sont dat\u00e9s dans le futur et les num\u00e9ros de version peuvent \u00e9voluer. Ensuite, servez-vous de cet incident comme d’un d\u00e9clencheur pour la migration que vous reportez : une branche PHP non support\u00e9e est un passif permanent, pas une \u00e9conomie.<\/p>\n
Les \u00e9quipes qui g\u00e8rent aussi des paiements num\u00e9riques devraient revoir leurs identifiants d’int\u00e9gration et leurs points de terminaison de rappel en m\u00eame temps que la mise \u00e0 niveau PHP, car les flux de paiement sont une cible courante apr\u00e8s toute compromission de la couche web ; l’analyse d’Onyx sur la transition des paiements num\u00e9riques au Maroc<\/a> d\u00e9crit l’\u00e9volution de ces int\u00e9grations. La s\u00e9quence elle-m\u00eame n’a rien de spectaculaire \u2014 corriger, isoler, red\u00e9marrer, v\u00e9rifier, traquer \u2014 mais ex\u00e9cut\u00e9e dans cet ordre, elle transforme une divulgation critique en un \u00e9v\u00e9nement de maintenance ma\u00eetris\u00e9 plut\u00f4t qu’en une enqu\u00eate de violation sans fin.<\/p>\n","protected":false},"excerpt":{"rendered":"
Un playbook PHP2Shell en quatre phases pour les PME marocaines : corriger ou contenir les branches PHP support\u00e9es, red\u00e9marrer PHP et le serveur web, v\u00e9rifier l’environnement de production, puis traquer l’intrusion.<\/p>\n","protected":false},"author":1,"featured_media":5120,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","rank_math_focus_keyword":"playbook de r\u00e9ponse PHP2Shell","rank_math_description":"Playbook PHP2Shell en quatre phases pour les PME marocaines : corriger ou contenir, red\u00e9marrer, v\u00e9rifier le runtime de production, puis traquer l'intrusion.","_onyx_display_title":""},"categories":[280],"tags":[],"class_list":["post-5122","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tech-stack"],"_links":{"self":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5122","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/comments?post=5122"}],"version-history":[{"count":1,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5122\/revisions"}],"predecessor-version":[{"id":5124,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/posts\/5122\/revisions\/5124"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/media\/5120"}],"wp:attachment":[{"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/media?parent=5122"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/categories?post=5122"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/onyx.ma\/fr\/wp-json\/wp\/v2\/tags?post=5122"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}