La CISA ajoute les failles PHP2Shell au KEV alors que l'exploitation active est confirmée

CISA ajoute PHP2Shell (CVE-2026-109618/-109619) au KEV : exploitation active. Écoles et gouvernement doivent corriger PHP en urgence.

  • La CISA a ajouté deux failles critiques PHP2Shell, CVE-2026-109618 et CVE-2026-109619, à son catalogue KEV le 26 octobre, invoquant une exploitation active.
  • Les deux sont notées 9,2 au CVSS et sont décrites comme permettant une exécution de code à distance sans authentification; les agences fédérales ont jusqu'à jeudi pour corriger.
  • Tout service scolaire ou gouvernemental qui utilise PHP, y compris CMS, portails, appliances et applications hébergées par des fournisseurs, doit traiter cela comme une urgence de correctif et rechercher des webshells.

À faire maintenant

  1. Inventoriez dès aujourd'hui chaque runtime PHP et déploiement PHP2Shell, y compris les sites exposés à Internet, les applications intranet, les conteneurs, les appliances, les paquets CMS/LMS tiers et les versions intégrées par les fournisseurs; consignez versions, responsables et exposition.
  2. Appliquez immédiatement la version PHP corrigée par le fournisseur pour CVE-2026-109618 et CVE-2026-109619, en commençant par les services exposés à Internet et ceux qui traitent des sessions authentifiées; si aucun correctif n'est disponible, mettez le service hors ligne ou restreignez-le au périmètre.
  3. N'utilisez les règles WAF ou de proxy inverse que comme mesure temporaire : bloquez les motifs d'exploitation et limitez les chemins d'administration PHP2Shell aux réseaux de confiance; le correctif virtuel ne constitue pas une clôture.
  4. Recherchez dans les journaux web, PHP, processus et intégrité des fichiers les tentatives d'exécution de code, les plantages par épuisement mémoire, les processus enfants inattendus, les nouveaux fichiers web et les indicateurs de webshell; isolez les hôtes suspects et préservez les preuves.
  5. Vu la nature « état de session » de la seconde faille, renouvelez les clés de signature de session, les secrets et les identifiants sur tout hôte ayant traité des requêtes non fiables ou présentant des signes de compromission; invalidez les sessions, vérifiez par un rescan authentifié et documentez la clôture pour la gouvernance et le signalement KEV.

Articles liés