Cloudflare détecte des millions de tentatives d'exploitation après la divulgation d'une faille PHP et déploie des mesures de protection contre la vulnérabilité PHP2Shell
La société de services cloud Cloudflare a enregistré des millions de tentatives d'exploitation après la divulgation publique de failles critiques dans le langage de programmation PHP, a déclaré son PDG, Matthew Prince, dans un message publié sur X. « Au cours des 10 heures qui ont précédé l'annonce publique, nous avons constaté, sur l'ensemble du réseau, des milliers de tentatives d'exploitation. Ce chiffre est passé à plusieurs dizaines de milliers dans les 45 minutes qui ont suivi l'annonce, à plusieurs centaines de milliers en l'espace de deux heures, et s'élève désormais à plusieurs millions », a déclaré Prince. Des sites web gouvernementaux en Europe et ailleurs ont été mis hors ligne après que la divulgation des failles a poussé les opérateurs à se démener pour protéger leurs systèmes.
Quelques jours plus tôt, l'équipe PHP avait émis une alerte urgente concernant deux failles de sécurité critiques qui menaçaient des millions de sites Web dans le monde. Elles étaient répertoriées sous les noms de CVE-2026-109618 et CVE-2026-109619, et évaluées à 9,2 sur 10 sur l'échelle de gravité. Une source avait présenté un outil d'exploitation appelé PHP2Shell permettant d'exécuter du code à distance sur des serveurs vulnérables. Face à la menace de cyberattaques massives imminentes, les administrateurs étaient invités à appliquer les correctifs en urgence. Un pan d'Internet se trouvait paralysé et les administrations publiques françaises avaient mis leurs sites hors ligne par mesure de précaution.
Cloudflare, Inc. est une entreprise technologique américaine dont le siège social est situé à San Francisco, en Californie, qui propose une gamme de services Internet, notamment des services de réseau de diffusion de contenu (CDN), de cybersécurité dans le cloud, de protection contre les attaques DDoS et d’enregistrement de noms de domaine accrédités par l’ICANN. Les services de l’entreprise font principalement office de proxy inverse entre les visiteurs d’un site web et l’hébergeur du client, ce qui permet d’améliorer les performances et d’assurer une protection contre le trafic malveillant.
La société de services cloud Cloudflare a enregistré des millions de tentatives d’exploitation après la divulgation publique de failles critiques dans le langage de programmation PHP, très répandu, a déclaré son PDG, Matthew Prince, dans un message publié sur X tard dans la soirée du 21 octobre. « Au cours des 10 heures qui ont précédé l’annonce publique, nous avons constaté, sur l’ensemble du réseau, des milliers de tentatives d’exploitation. Ce chiffre est passé à plusieurs dizaines de milliers dans les 45 minutes qui ont suivi l’annonce, à plusieurs centaines de milliers en l’espace de deux heures, et s’élève désormais à plusieurs millions », a déclaré Prince.
Des sites web gouvernementaux en Europe et ailleurs ont été mis hors ligne le 21 octobre après que la divulgation des failles de PHP a poussé les opérateurs de sites web du monde entier à se démener pour protéger leurs systèmes. Le groupe bancaire japonais Mitsubishi UFJ Financial Group a annoncé la suspension temporaire de certains de ses services en ligne en raison de mesures d'urgence. Le 21 octobre, les développeurs du langage de programmation PHP ont publié de nouveaux correctifs urgents pour remédier à des failles de sécurité qui se cachaient dans leur logiciel depuis des années avant d'être détectées grâce à l'intelligence artificielle (IA), précisant que tous les utilisateurs étaient « invités à effectuer la mise à jour immédiatement ».
Voici la publication de Cloudflare sur la protection de son WAF contre les vulnérabilités PHP :
Cloudflare met en place des mesures de protection contre la vulnérabilité « php2shell »
Calif.io, Wiz, OpenAI et Quarkslab ont révélé deux vulnérabilités dans PHP, référencées sous les numéros CVE-2026-109618 et CVE-2026-109619 et connues sous le nom de « php2shell ». Ces vulnérabilités affectent tous les serveurs web exécutant PHP 5.4 ou une version ultérieure et pourraient permettre à un attaquant de provoquer un déni de service, l’exécution de code à distance et la divulgation de données lorsqu’une application traite du trafic HTTP spécialement conçu à cet effet.
Cloudflare a participé à un effort coordonné visant à déployer des mesures d’atténuation pour protéger Internet, en collaboration notamment avec la Fondation PHP, OpenAI et Wiz. Cloudflare a développé et déployé des protections de type pare-feu d’applications web (WAF) dès le début du mois d’octobre 2026, soit environ 9 heures avant la divulgation publique. À partir du 21 octobre à 3 h 02 UTC, les clients de Cloudflare utilisant notre WAF gratuit ou payant étaient protégés par défaut contre php2shell.
Cloudflare a déployé avec succès plusieurs mesures d’atténuation pour l’ensemble de ses clients alors que la vulnérabilité avait été divulguée avant la date de publication officielle et que nous avions observé un trafic malveillant ciblant nos clients. Nous avons constaté que les attaquants modifiaient la charge utile de leurs attaques pour tenter de contourner nos protections, en analysant le volume de correspondances et en effectuant des recoupements avec la logique des règles. La protection contre php2shell nécessitait davantage que des règles standard basées sur les requêtes. Les données de requête à elles seules ne fournissent pas toujours suffisamment d’éléments pour distinguer un exploit d’un trafic légitime. La réponse de l’origine apporte un contexte supplémentaire, ce qui permet de déterminer si un exploit a abouti tout en réduisant le risque de faux positifs.
Pour offrir cette protection, nous avons développé la détection complète des transactions, une nouvelle fonctionnalité du WAF de Cloudflare qui combine les signaux provenant de la requête et de la réponse au sein d’une même transaction HTTP. Les règles de réponse peuvent alors bloquer une réponse d’origine correspondante avant qu’elle n’atteigne le demandeur. Les protections contre php2shell constituent les premières détections gérées que nous avons lancées à l’aide de cette fonctionnalité.
Les clients doivent appliquer les correctifs à leurs dépôts PHP, même s’ils bénéficient déjà des protections WAF, afin de bénéficier d’une couche supplémentaire de défense en profondeur. Nos analystes en sécurité continuent de surveiller l’activité des attaques et mettront à jour les règles dès que de nouvelles techniques ou variantes apparaîtront dans les heures et les jours à venir. Vous pouvez suivre l’évolution des nouvelles règles dans le journal des modifications. Ces protections sont disponibles et déployées automatiquement sur tous les forfaits disposant d’un WAF, y compris pour les utilisateurs de la version gratuite.
Ce que nous savons sur ces vulnérabilités
PHP est utilisé par près de 70 % des sites web. Les vulnérabilités « php2shell » affectent le moteur d’exécution PHP lui-même et peuvent permettre à des attaquants d’exécuter du code malveillant sur des serveurs vulnérables, d’exposer les données des clients ou de perturber les services. PHP étant à la base de plateformes largement utilisées telles que WordPress et Magento, ces failles pourraient potentiellement affecter un grand nombre d’applications sur Internet.
Ces deux vulnérabilités concernent la manière dont PHP gère la mémoire lorsqu'un problème survient lors du traitement d'une requête HTTP. Normalement, PHP alloue de la mémoire pour stocker les données dont il a besoin pour traiter une requête, puis la libère une fois cette opération terminée. Si le traitement s'interrompt de manière inattendue, par exemple en raison d'un manque de mémoire, PHP ne parvient pas à libérer la mémoire en toute sécurité. Ces vulnérabilités apparaissent lorsque PHP gère une erreur puis tente d'utiliser des données qui n'ont pas été entièrement initialisées ou de la mémoire qui a déjà été libérée.
Un attaquant peut envoyer des requêtes HTTP spécialement conçues pour déclencher ces conditions. Les requêtes volumineuses constituent un moyen de mettre la mémoire sous pression, mais le problème va au-delà de la simple consommation des ressources du serveur. En manipulant les données que PHP rencontre dans cette mémoire non valide, un attaquant peut être en mesure de provoquer le plantage d’un processus PHP, d’exposer des informations sensibles ou d’exécuter du code fourni par l’attaquant.
Les deux vulnérabilités diffèrent quant au moment où l’accès non sécurisé à la mémoire se produit :
| Vulnérabilité | Ce qui ne fonctionne pas |
| CVE-2026-109618 | PHP manque de mémoire et interrompt son exécution avant que certaines données internes aient été correctement initialisées. Lors du nettoyage de cette requête, PHP peut utiliser ces données incomplètes comme si elles étaient valides. |
| CVE-2026-109619 | Une erreur fatale interrompt une requête, laissant PHP avec des références à de la mémoire qui est libérée à la fin de la requête. Lorsque ce même processus PHP traite une requête ultérieure, il peut suivre ces références obsolètes, accéder à de la mémoire qui n'est plus valide et exposer ainsi des données sensibles. |
Ces failles se situent au niveau du moteur d'exécution PHP ; par conséquent, la mise à jour du code du site web ou d'un ou plusieurs plugins ne suffit pas à corriger ces vulnérabilités. Les administrateurs doivent mettre à jour le logiciel PHP sur lequel tournent leurs applications. Si un hébergeur gère PHP, demandez-lui d'appliquer la mise à jour de sécurité. Les administrateurs peuvent consulter l’avis de sécurité PHP pour connaître les versions concernées et les instructions de correction. Veillez à ce que les protections WAF de Cloudflare restent activées pendant l’application du correctif. Restreindre les téléchargements inutiles et limiter la taille des fichiers téléchargés peut également réduire l’exposition, mais ces mesures ne remplacent pas le correctif PHP.
Source : Cloudflare
Et vous ?
Pensez-vous que cette information est crédible ou pertinente ?
Quel est votre avis sur le sujet ?
Voir aussi :
PHP corrige des vulnérabilités critiques PHP2Shell détectées par l'IA et touchant des millions de sites, OpenAI indique que des recherches en sécurité assistées par l'IA ont permis de les identifier
Vous avez lu gratuitement 136 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.