Une nouvelle faille PHP, la CVE-2026-115560, permet d'exécuter du code, mais PHP ne publie pas de correctif d'urgence.

Le projet PHP a émis une nouvelle alerte. Ainsi, une seconde faille PHP pourrait permettre à un attaquant d’exécuter du code sur un serveur web. Elle survient deux jours après la publication de correctifs d’urgence. Ces correctifs visaient les failles critiques regroupées sous le nom PHP2Shell.

Cependant, la situation n’est pas comparable. Cette fois, les mainteneurs ne publient aucun correctif en urgence. En effet, ils jugent le risque peu probable. Ils proposent donc une parade de configuration.

Une nouvelle faille PHP deux jours après PHP2Shell

Rappelons d’abord le contexte. Les failles PHP2Shell étaient considérées comme critiques. Elles ont donc justifié des mises à jour de sécurité publiées en urgence.

Deux jours plus tard, le projet signale un autre chemin vers l’exécution de code à distance. Ce type de vulnérabilité est souvent désigné par le sigle RCE. En effet, il permet à un attaquant de lancer ses propres commandes sur la machine visée.

Le calendrier est donc serré pour les équipes techniques. Elles viennent à peine d’appliquer les correctifs précédents. Or un nouvel avis demande déjà de revoir la configuration de leurs applications.

Ce que l’on sait de la CVE-2026-115560

Le nouveau problème porte l’identifiant CVE-2026-115560. Il concerne uniquement les applications web configurées d’une manière inhabituelle. Autrement dit, une installation standard n’est pas visée.

Cette précision change beaucoup l’évaluation du risque. En effet, une exploitation suppose de réunir des conditions précises. L’attaquant ne peut pas viser n’importe quel serveur PHP au hasard.

Par ailleurs, les informations disponibles restent limitées à ce stade. Elles ne détaillent pas la méthode d’exploitation. De plus, elles n’indiquent pas de campagne d’attaque en cours. Il faut donc éviter toute conclusion hâtive.

Voici les éléments confirmés :

• la vulnérabilité permet l’exécution de code sur un serveur web ;
• elle est référencée sous l’identifiant CVE-2026-115560 ;
• elle touche seulement certaines configurations atypiques ;
• PHP estime le risque d’exploitation peu probable ;
• aucun correctif d’urgence n’est publié.

Pourquoi PHP ne publie pas de correctif d’urgence

Le choix du projet peut surprendre. Une faille d’exécution de code évoque généralement une réponse immédiate. Pourtant, PHP adopte ici une approche différente.

Les mainteneurs considèrent que le public réellement exposé est restreint. Ils préfèrent donc recommander la désactivation d’une fonctionnalité. Ils évitent ainsi de livrer une version corrective en urgence. Cette mesure vise à réduire la surface d’attaque sans attendre.

Cette logique reste classique en sécurité. Lorsqu’une faille dépend d’une option particulière, la désactiver suffit souvent à neutraliser le risque. De plus, cela évite aux équipes un nouveau cycle de déploiement dans la précipitation.

Toutefois, cette approche a une limite. Elle repose sur la capacité des administrateurs à identifier leur propre configuration. Or beaucoup d’organisations ne documentent pas précisément leurs réglages. Par ailleurs, certaines applications héritées contiennent des paramètres oubliés depuis des années.

En outre, la fonctionnalité à désactiver est désignée dans l’avis officiel de PHP. Les administrateurs doivent s’y référer directement. Ils éviteront ainsi toute erreur d’interprétation sur le réglage à modifier.

Recommandations face à cette faille PHP

Les équipes en charge de serveurs PHP peuvent agir dès maintenant. En effet, plusieurs vérifications simples permettent de mesurer l’exposition réelle. Voici une démarche pragmatique.

1. Lire l’avis officiel. Il précise la fonctionnalité concernée et la manière de la désactiver.
2. Auditer la configuration. Vérifiez si vos applications utilisent un réglage inhabituel lié à cette fonctionnalité.
3. Désactiver la fonctionnalité si possible. C’est la mesure recommandée par PHP en l’absence de correctif.
4. Confirmer les correctifs PHP2Shell. Assurez-vous que les mises à jour d’urgence sont bien déployées partout.
5. Surveiller les journaux. Repérez les requêtes inhabituelles et les exécutions de processus inattendues sur les serveurs web.

Ce qu’il faut retenir

La CVE-2026-115560 n’a rien d’une répétition de PHP2Shell. Son périmètre est plus étroit et son exploitation jugée peu probable. Néanmoins, une exécution de code à distance mérite toujours de l’attention.

Ainsi, la bonne réaction consiste à vérifier plutôt qu’à paniquer. Les administrateurs doivent contrôler leur configuration et appliquer la parade proposée. Enfin, ils doivent rester attentifs aux prochaines communications du projet PHP. En effet, de nouveaux éléments techniques pourraient émerger.

Source : PHP Warns of Another Unpatched RCE Two Days After Emergency PHP2Shell Patches