Le 22 octobre, nous décrivions php2shell : deux failles dans PHP lui-même, CVE-2026-109618 et CVE-2026-109619, corrigées en 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Depuis, le calendrier s'est resserré. L'agence américaine CISA les a ajoutées le 26 octobre à son catalogue des failles déjà exploitées. Le 27 octobre, elle y a ajouté une faille de la bibliothèque de compression Brotli, CVE-2026-111497.
Ni l'une ni l'autre n'est une faille Windows. Les deux concernent pourtant les serveurs et les postes d'une PME, et aucune n'attend le prochain Patch Tuesday.
PHP2Shell est exploitée
Le correctif ne change pas : PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, puis un redémarrage de PHP-FPM ou du serveur web. Sans ce redémarrage, l'ancien interpréteur reste en mémoire et le site est encore vulnérable.
Deux cas passent à travers une mise à jour Windows, parce que Windows ne fournit pas PHP :
- PHP installé à la main sur un serveur Windows se met à jour depuis php.net, pas par Windows Update.
- Une image Docker, ou un hébergement qui embarque son propre PHP, se corrige en reconstruisant l'image, ou en demandant à l'hébergeur la version corrigée. Les branches PHP 5 et 7 ne recevront pas de correctif. Elles sont à remplacer.
Brotli, la bibliothèque que vous n'avez pas choisie
Brotli compresse des pages et des réponses HTTP. La faille est dans le décodeur, des versions 1.0.3 à 1.2.0. Les versions corrigées de la bibliothèque sont 1.0.10, 1.1.1 et 1.2.1. Elle est embarquée dans des produits très répandus : .NET, PowerShell 7, Visual Studio, Node.js, les builds Windows de PHP, Git pour Windows. Mettre à jour Windows ne met pas à jour chacune de ces copies.
Microsoft a publié le 25 octobre, hors du cycle mensuel, les correctifs .NET 8.0.33, 9.0.22 et 10.0.14. Le .NET Framework historique livré avec Windows n'est pas concerné. En revanche, une application .NET autonome, qui embarque son propre runtime, ne se corrige pas quand on met le poste à jour : il faut la recompiler avec le SDK corrigé, puis la redéployer.
Côté exposition, ASP.NET ne décompresse pas les requêtes Brotli par défaut. PowerShell 7 le fait pour Invoke-WebRequest et Invoke-RestMethod. Le réflexe utile n'est pas d'ouvrir chaque réglage. C'est d'installer les versions corrigées, puis de redémarrer. Ces correctifs hors cycle demandent un redémarrage de plus.
Des certificats à ne plus croire
Troisième sujet de la même semaine, et ce n'est pas un logiciel à corriger. Huit clés d'autorités intermédiaires eMudhra, dans la hiérarchie emSign G3, ont été générées trop faiblement pour rester dignes de confiance. Un certificat émis avec ces clés peut faire passer un site, ou un programme, pour un autre.
Microsoft a retiré les racines concernées de la liste de confiance Windows par une mise à jour hors cycle le 26 octobre, et de Edge le 27 octobre. Il faut laisser passer les mises à jour de certificats, y compris sur les postes qui se connectent peu. Les logiciels qui ont leur propre magasin, Java, Python, certaines images Docker, ne suivent pas Windows Update : ils se mettent à jour de leur côté.
L'ordre de priorité
- Les sites PHP exposés sur Internet. Vérifier la version, installer le correctif, redémarrer PHP. C'est le délai le plus court.
- Les postes et les serveurs Windows. Accepter la mise à jour hors cycle des certificats et de .NET, et le redémarrage qui va avec.
- Les outils installés à part : Node.js, PowerShell 7, Visual Studio, Git pour Windows. Chacun se corrige avec la version publiée par son éditeur.
- Ce que vous avez empaqueté vous-même : images Docker, applications .NET autonomes, PHP copié dans un projet.
Ce que couvre le contrat
Sur les parcs que nous infogérons, ces correctifs hors cycle sont appliqués sans attendre le mardi suivant, en commençant par les sites PHP exposés, avec un redémarrage annoncé. C'est le travail de l'infogérance.
À retenir
PHP2Shell est au catalogue des failles exploitées depuis le 26 octobre, Brotli depuis le 27. Le correctif PHP ne vient pas de Windows Update. Une application qui embarque son propre .NET ne suit pas la mise à jour du poste. Les certificats eMudhra ne doivent plus être crus. Trois sujets, un même réflexe : les traiter cette semaine, pas au prochain cycle.
Vous ne savez pas quelle version de PHP sert votre site ? Envoyez-nous son adresse.