Vulnérabilités d’exécution de code à distance dans PHP (php2shell, CVE-2026-109618 et CVE-2026-109619)

Résumé

Le 21 octobre 2026, deux vulnérabilités critiques d’exécution de code à distance dans l’environnement d’exécution du langage PHP ont été divulguées (CVE-2026-109618 et CVE-2026-109619, aussi appelées « php2shell »). Le Centre canadien pour la cybersécurité a publié l’alerte AL26-026 le même jour. Du code d’exploitation circule publiquement et des premières attaques ont été signalées.

Statut : non touché

• Produits et services destinés aux clients : nimble.ca, SmartCloud, NimbleSign et les API Nimble Intelligence n’utilisent pas PHP et ne sont pas touchés.
• Systèmes internes : une application interne qui fonctionne avec PHP a été mise à jour vers une version corrigée de PHP, et une vérification subséquente n’a relevé aucune autre exposition à PHP.

Ce que les clients doivent faire

Aucune mesure n’est requise pour les produits et services de Nimble.

Si votre organisation utilise PHP, la mise à niveau est la seule correction efficace : PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou le paquet corrigé de votre fournisseur de système d’exploitation. Les versions 8.1 et antérieures ne sont plus prises en charge et ne recevront pas de correctif.

Références

• Centre canadien pour la cybersécurité, alerte AL26-026, Vulnérabilités critiques touchant PHP : alertes et avis sur cyber.gc.ca
• Tenable, foire aux questions sur php2shell (en anglais) : tenable.com