Par Adrian Cheek, chercheur principal en cybercriminalité
Deux vulnérabilités critiques dans PHP Nous avons remis sur le devant de la scène une question opérationnelle bien connue : combien de services PHP accessibles sur Internet utilisent des versions qui ne bénéficient plus des correctifs de sécurité officiels ? Nous avons examiné les données d'analyse Internet existantes afin de recenser les versions de PHP que les services publient sur Internet. Nous avons ainsi identifié 2 220 231 enregistrements de services dans 224 pays. Près des trois quarts d'entre eux annonçaient une branche de PHP qui n'est plus prise en charge par le projet PHP.
Cette découverte ne signifie pas que 1.6 million de serveurs sont vulnérables à PHP2Shell. Elle illustre l'importance des anciennes versions de PHP et explique pourquoi une simple instruction d'installation de la dernière version ne suffit pas à garantir la sécurité de tous les environnements. Certaines anciennes versions de PHP continuent de bénéficier de correctifs de sécurité via les éditeurs de systèmes d'exploitation ; d'autres sont intégrées à des produits dont le processus de mise à jour dépend du fabricant.
Principales conclusions concernant PHP2Shell
- Près des trois quarts des services PHP affichant leur version utilisent des branches non prises en charge. Sur 2 220 231 enregistrements de service, 1 613 623 (72.7 %) annonçaient une branche non prise en charge par les développeurs officiels, tandis que 606 608 (27.3 %) annonçaient PHP 8.2 à 8.5.
- Une bannière ne constitue pas un verdict de correctif. Les distributions et les fournisseurs d'appliances peuvent rétroporter des correctifs sans modifier la version signalée. À elles seules, cinq chaînes de version associées à la distribution représentent 418 288 enregistrements (18.8 %) dont l'état réel du correctif ne peut être déterminé à partir de l'en-tête.
- Quelques anciennes versions sont prédominantes. PHP 7.4.3 et PHP 7.4.33 représentent à elles seules 21.3 % des enregistrements, et les 18 occurrences exactes les plus fréquentes en représentent 46.9 %.
- PHP n'est pas seulement présent sur les sites web. Un échantillon régional a révélé sa présence sur des interfaces d'accès distant, de stockage, de contrôle d'accès, de VPN et de domotique, souvent sur des ports non standard tels que 81, 8080 et 8888, qui ne seraient pas détectés par un inventaire basé uniquement sur les ports 80 et 443.
- Les bannières des correctifs étaient à peine visibles au départ. Environ deux heures après leur publication, une plateforme affichait huit enregistrements correspondants et l'autre un seul hôte. Il s'agit d'un indicateur de visibilité de base, et non d'un taux d'adoption des correctifs.
Communauté Discord de Flare Academy
Accédez aux dernières recherches en cybersécurité
Le serveur Discord de Flare Academy est un lieu d'échange pour les experts en sécurité et les chercheurs en menaces qui analysent des découvertes comme celle-ci. Rejoignez la discussion et échangez avec la communauté qui travaille quotidiennement sur ces problématiques.
Ce que nous avons mesuré
En utilisant des enregistrements précédemment collectés à partir de deux plateformes commerciales d'analyse d'Internet, Flare s'est concentré sur l'en-tête de réponse HTTP X-Powered-By, qui peut révéler une version de PHP lorsque le paramètre expose_php est activé.
L'unité de mesure est un enregistrement de service accessible sur Internet, et non un serveur ou un site web unique. Un même hôte écoutant sur plusieurs ports peut générer plusieurs enregistrements. En revanche, les déploiements PHP qui suppriment l'en-tête, sont gérés par des intermédiaires ou ne sont pas couverts par la plateforme ne sont pas inclus. Les chiffres décrivent la population observée divulguant la version, et non l'ensemble des installations PHP sur Internet.
Les quatre branches soutenues ont été mesurées directement. Le total des branches les plus anciennes correspond au résultat obtenu après soustraction de ces données à la population observée.
Pourquoi le résultat des 73 % est important
Le projet PHP a fourni des correctifs d'urgence pour les vulnérabilités CVE-2026-109618 et CVE-2026-109619 dans les versions PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les recommandations techniques publiques indiquent que ces failles permettent l'exécution de code à distance sans authentification, le risque s'étendant aux déploiements PHP traitant des requêtes web. Cette situation d'urgence rend la gestion de l'âge des installations PHP immédiatement critique.
Parmi les services de divulgation de version présents dans l'ensemble de données de Flare, 606 608 annonçaient l'une des quatre branches officiellement prises en charge. Les 1 613 623 restants annonçaient des versions hors de la période de maintenance du projet PHP. PHP 8.1 et 8.0 représentaient à eux deux 188 138 enregistrements ; 1 425 485 autres annonçaient des versions antérieures à PHP 8.0 ou appartenaient à la catégorie résiduelle, en dehors des branches PHP 8 analysées.
Cette découverte ne signifie pas que 1.6 million de serveurs sont vulnérables à PHP2Shell. Une branche amont non prise en charge n'implique pas nécessairement une machine non patchée. Les fournisseurs de distributions et d'appliances peuvent intégrer des correctifs de sécurité sans modifier le numéro de version amont. À l'inverse, un ancien appareil dont le fournisseur ne propose plus de mises à jour de sécurité peut nécessiter d'être isolé, remplacé ou mis hors service. L'en-tête externe ne permet pas de distinguer ces situations.
Les versions PHP les plus courantes sont étonnamment anciennes
Deux chaînes de caractères représentaient à elles seules 21.3 % de tous les enregistrements observés : PHP 7.4.3 est apparu 246 881 fois et PHP 7.4.33 225 216 fois. Sur l’ensemble des données, les 18 versions exactes les plus fréquentes représentaient 1 040 475 enregistrements, soit 46.9 %.
Ces chaînes de caractères ont des significations différentes. PHP 7.4.33 est la dernière version officielle de PHP 7.4. PHP 7.4.3 est également associé aux paquets Ubuntu 20.04, où des correctifs de sécurité peuvent être intégrés sans que la version officielle affichée ne change. Interpréter chaque bannière comme une mesure exacte du nombre de correctifs de sécurité installés masquerait cette distinction.
418 288 enregistrements qu'une vérification de version ne peut pas résoudre
Cinq chaînes de version associées aux paquets de distribution de systèmes d'exploitation ont représenté 418 288 enregistrements de service observés, soit 18.8 % de l'ensemble des données. Ces enregistrements constituent une catégorie d'incertitude : la même version annoncée peut exister sur un hôte ayant bénéficié de mises à jour de sécurité régulières du fournisseur ou sur un hôte n'ayant reçu aucun correctif depuis des années.
Par exemple, 28 442 enregistrements mentionnaient PHP 8.1.2, une version associée à Ubuntu 22.04. PHP 8.1 n'est plus pris en charge par le système d'exploitation d'Ubuntu, mais Ubuntu peut continuer à fournir des correctifs de sécurité dans le cadre de sa propre politique de support. En revanche, Ubuntu 20.04 n'est plus pris en charge par le système d'exploitation d'Ubuntu depuis 2025 ; la continuité de la prise en charge dépend des accords de maintenance applicables et de la version des paquets installés. Il est impossible de trancher dans les deux cas à partir de l'en-tête HTTP.
C’est pourquoi la découverte des surfaces d’attaque externes et la vérification interne des correctifs doivent être combinées. Un en-tête de réponse peut indiquer où chercher. Les preuves fournies par le gestionnaire de paquets et les avis des fournisseurs sont nécessaires pour établir ce qui est réellement installé et corrigé.
PHP est présent sur bien plus que les sites web conventionnels.
Un échantillon régional provenant d'un État américain a mis en évidence un autre problème pratique. Sur deux plateformes d'analyse, l'échantillon comprenait respectivement 101 et 89 hôtes et a révélé 54 chaînes de version PHP. Les libellés de service des plateformes incluaient :
- 40 entrées d'accès à distance
- 34 entrées du portail de connexion
- 16 entrées de stockage en réseau
- 11 entrées VPN
- huit entrées de contrôle d'accès physique
- huit entrées en matière d'automatisation des bâtiments
Les catégories peuvent se chevaucher et l'échantillon n'est pas représentatif de la population mondiale.
L'en-tête PHP est apparu sur les ports suivants : 81, 82, 250, 557, 1443, 3333, 8080, 8081, 8888, 9021 et 9022. Un inventaire de sécurité limité aux ports 80 et 443 pourrait négliger les interfaces utilisées par les administrateurs pour accéder aux appliances et autres équipements.
Dix-sept hôtes de l'échantillon régional utilisaient PHP 5.1.6, la même version de serveur web et un certificat TLS par défaut identique, associé à une plateforme de stockage client. Ce regroupement suggère une origine commune du firmware, sans toutefois permettre de déterminer la disponibilité des correctifs. Il illustre pourquoi la résolution de problèmes implique parfois une prise en charge du produit et des décisions de remplacement plutôt qu'une simple mise à jour de l'application.
Ce que le premier aperçu du patch a montré — et n'a pas montré
Dans un instantané de plateforme d'analyse examiné environ deux heures après la publication des versions corrigées signalées, nous avons trouvé huit enregistrements annonçant les nouvelles chaînes de version sur une plateforme : cinq sur PHP 8.4.27 et trois sur PHP 8.5.12. La deuxième plateforme a montré un hôte correspondant.
Il s'agit d'une valeur de référence pour le moment où les bannières de correctifs sont apparues dans les données d'analyse, et non d'un taux d'adoption global des correctifs. Les plateformes d'analyse commerciales actualisent les enregistrements à des moments différents ; par conséquent, les horodatages observés et les mises à jour réelles des hôtes ne peuvent être mis en correspondance. Répéter les requêtes en appliquant des règles de collecte cohérentes peut faciliter le suivi de la visibilité ultérieure.
Que peuvent faire les défenseurs maintenant
- Identifiez les installations PHP à partir des inventaires internes de ressources et de paquets, notamment dans les environnements de développement, de reprise après sinistre et d'administration. Utilisez les bannières visibles sur Internet comme pistes de détection, et non comme preuve de vulnérabilité.
- Pour PHP 8.2–8.5, déployez la version de sécurité confirmée correspondante : 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, conformément aux instructions de déploiement de votre fournisseur.
- Pour les branches plus anciennes, consultez les recommandations du fabricant du système de distribution ou de l'appliance et vérifiez la mise à jour du package pour les protections rétroportées. En l'absence de support, privilégiez la migration, l'isolation ou le remplacement.
- Incluez les interfaces de gestion et les ports web non standard dans les analyses d'exposition. L'échantillon régional a révélé la présence de PHP sur les services de stockage, de contrôle d'accès, d'accès à distance et de gestion de bâtiments.
- Ne confondez pas la suppression de l'en-tête X-Powered-By avec la correction des vulnérabilités. La désactivation d'expose_php limite la divulgation d'informations, mais ne modifie ni le code sous-jacent ni son état de correctif.
Que signifient ces chiffres ?
PHP2Shell constitue une vulnérabilité urgente, mais les données suggèrent un problème de maintenance plus persistant. Dans la population observée, les anciennes branches de PHP sont nettement plus nombreuses que celles maintenues par les développeurs officiels. Nombre de ces déploiements sont maintenus par le biais de paquets distribués en aval, et certains ne sont peut-être pas vulnérables. Cependant, la bannière publique ne permet pas à elle seule d'identifier les systèmes protégés, ceux qui ne sont plus pris en charge par leurs fournisseurs respectifs, ni ceux qui peuvent être mis à jour rapidement.
La leçon pratique à retenir est de considérer les données de version exposées comme un point de départ pour la vérification — et non comme un verdict sur un correctif — et d'inclure l'ensemble des appliances et des interfaces de gestion lors de l'évaluation des risques liés à PHP.
Communauté Discord de Flare Academy
Accédez aux dernières recherches en cybersécurité
Le serveur Discord de Flare Academy est un lieu d'échange pour les experts en sécurité et les chercheurs en menaces qui analysent des découvertes comme celle-ci. Rejoignez la discussion et échangez avec la communauté qui travaille quotidiennement sur ces problématiques.
Méthodologie et portée
Nous avons analysé des données déjà publiées provenant de deux services commerciaux d'analyse Internet. Les chiffres indiqués correspondent aux enregistrements de service divulguant les versions de PHP via les en-têtes HTTP et dépendent de la fraîcheur des données, de la couverture de l'analyse, des ports utilisés de manière répétée, du comportement des proxys et de l'exactitude des bannières. La répartition géographique (224 pays) reflète la géolocalisation des plateformes. Cette étude n'a pas testé la présence de PHP2Shell sur les hôtes ni établi de compromission. Les observations régionales sont données à titre indicatif et ne constituent pas une estimation globale. Tous les résultats numériques d'exposition proviennent des mesures internes de Flare ; les sources externes mentionnées ci-dessous fournissent les descriptions des vulnérabilités et des correctifs.
Nous avons effectué le même inventaire sur l'ensemble de notre parc informatique, car la mesure ci-dessus montre qu'une bannière de version est un point de départ plutôt qu'un enregistrement de l'état des correctifs, et cela est valable pour tout interpréteur dont une organisation dépend.
Références techniques externes
Guide d'utilisation de PHP2Shell, NCSC Pays-Bas (21 octobre 2026) : https://github.com/NCSC-NL/php2shell
Analyse technique de PHP2Shell, Wiz Research (21 octobre 2026) : https://www.wiz.io/blog/php2shell-php-rce
Signalement de correctif d'urgence (21 octobre 2026) : https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
