PHP2Shell : deux failles critiques de PHP, divulguées avant leur correctif

Le 21 octobre, l’équipe de PHP a publié en urgence les correctifs de deux failles critiques du moteur PHP lui-même. Elles concernent donc tous les sites qui tournent avec PHP, quel que soit leur logiciel : une boutique PrestaShop ou WooCommerce, un site WordPress, une application sur mesure.

Ce qui s’est passé

Les deux failles avaient été signalées discrètement à l’équipe de PHP en août, comme il se doit, et leur correctif était prévu pour le 22 octobre. Le 20, leurs détails ont commencé à circuler, et une vidéo de démonstration a été mise en ligne par erreur. PHP a alors avancé la publication au 21 octobre. Les distributions Linux et les fournisseurs de versions maintenues avaient reçu les correctifs à l’avance pour préparer leurs paquets.

Ces failles, surnommées PHP2Shell, sont notées 9,2 sur 10. Dans certaines conditions, elles permettent à une personne extérieure d’exécuter du code sur le serveur, ou de lire la mémoire des processus PHP, où peuvent se trouver des mots de passe ou des clés.

Faut-il s’inquiéter ?

Il faut agir, sans panique. Des tentatives d’attaque ont été observées dès le 21 au matin, mais les chercheurs qui suivent le sujet n’ont pas constaté de piratage réussi à grande échelle : les démonstrations publiées ne fonctionnent pas sur une installation standard et demandent des conditions particulières. Cela peut changer vite, d’autant que l’intelligence artificielle raccourcit le temps entre un correctif publié et une attaque qui fonctionne. La mise à jour de PHP reste la seule protection complète, et c’est une opération courte quand le serveur est suivi.

Comment savoir si votre site est concerné

Commencez par relever la version de PHP de votre site :

• PrestaShop : back-office, Paramètres avancés, Informations.
• WordPress et WooCommerce : Outils, Santé du site, onglet Informations, rubrique Serveur.
• Chez un hébergeur mutualisé : l’espace client indique la version de PHP choisie pour le site.

Comparez-la ensuite aux versions corrigées :

• PHP 8.5 : 8.5.12 ou plus ;
• PHP 8.4 : 8.4.27 ou plus ;
• PHP 8.3 : 8.3.36 ou plus ;
• PHP 8.2 : 8.2.35 ou plus.

Une version plus ancienne n’est pas forcément vulnérable : les distributions Linux (Debian, Ubuntu, Red Hat) et de nombreux hébergeurs appliquent le correctif sans changer le numéro de version. Dans ce cas, seul l’hébergeur, ou le journal des modifications du paquet PHP, peut le confirmer. PHP 8.1 et les versions plus anciennes ne reçoivent plus de correctifs de l’équipe de PHP : sans correctif de la distribution ou de l’hébergeur, elles restent exposées. C’est le cas de nombreuses boutiques PrestaShop 1.7, qui ne fonctionnent pas au-delà de PHP 7.4.

Ce qu’il faut faire

1. Mettre PHP à jour vers la dernière version de sa branche, ou demander à l’hébergeur de confirmer qu’il a appliqué le correctif.
2. Si la mise à jour doit attendre, l’équipe de PHP décrit des réglages qui réduisent l’exposition, sans la supprimer : ils relèvent de l’administrateur du serveur.
3. Profiter de l’occasion pour planifier la sortie des versions de PHP qui ne sont plus maintenues : PHP 8.2 arrive lui-même en fin de support le 31 décembre 2026.

Pour une boutique PrestaShop, W4U Audit relève la version de PHP du serveur à chaque audit et signale désormais PHP2Shell si elle est antérieure au correctif. Si l’hébergeur a appliqué le correctif sans changer le numéro, le constat se déclare corrigé depuis le rapport. Avec le Monitoring, l’audit peut être relancé dès que la mise à jour est faite.