PHP2Shell : Next recense 250 000 domaines en .fr affichant une version vulnérable

Ce qui s’est passé

Next annonce avoir identifié au moins 250 000 domaines en .fr affichant une version de PHP vulnérable aux failles PHP2Shell. Publiée le 2 novembre 2026, son enquête porte sur les 4,6 millions de noms de domaine présents dans le fichier ouvert de l’Association française pour le nommage Internet en coopération (Afnic) en septembre 2026.

Le média a interrogé ces domaines et relevé les versions annoncées dans les réponses du protocole HTTP, utilisé pour les échanges web. Environ 1,2 million de domaines n’ont renvoyé aucun statut HTTP. Près de 2,6 millions ont répondu sans indiquer de version de PHP. Next indique avoir obtenu près de 500 000 réponses contenant une version de ce langage, utilisé pour faire fonctionner des sites et des applications web.

Le résultat porte sur des versions affichées, pas sur des compromissions constatées. Un domaine sans réponse peut notamment servir uniquement à la messagerie ou avoir été indisponible pendant le test. L’absence de version annoncée ne permet pas non plus de conclure à l’absence de PHP.

Ce que ça change pour une PME

Les deux vulnérabilités PHP2Shell, CVE-2026-109618 et CVE-2026-109619, peuvent permettre à un attaquant distant non authentifié d’exécuter du code sur le serveur. L’équipe PHP confirme qu’elles concernent les installations qui traitent des requêtes web, avec un risque jugé plus élevé lorsque PHP fonctionne dans Apache avec le module mod_php.

Pour une PME, le sujet concerne donc aussi bien un site public qu’une application métier accessible sur le web. Toutefois, le nombre de domaines recensés ne correspond pas nécessairement à autant de serveurs distincts ou d’entreprises touchées.

La version annoncée ne suffit pas, à elle seule, à établir l’état réel des correctifs : certaines distributions et certains fournisseurs de maintenance intègrent les corrections à d’anciennes branches. Red Hat souligne également que les conditions d’exploitation varient selon le déploiement. Le nombre de domaines effectivement exploitables reste à établir.

Quoi faire

Les correctifs officiels sont disponibles dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’équipe PHP indique que les distributions Linux et les fournisseurs de maintenance longue durée ont reçu les corrections en amont pour préparer leurs propres paquets.

PHP 8.1 et les branches antérieures ne bénéficient plus des mises à jour régulières du projet. L’équipe a néanmoins fourni des adaptations minimales des correctifs pour PHP 7.4, 8.0 et 8.1. L’existence de ces corrections constitue une distinction importante entre une ancienne version affichée et une installation effectivement dépourvue de correctif.