Résumé :
Cloudflare, une société mondiale de services cloud et de sécurité des réseaux, a annoncé le 21 octobre 2026 avoir déployé des règles de protection par pare-feu d'application Web (WAF) contre deux vulnérabilités de sécurité graves connues sous le nom de « php2shell » dans le langage de programmation PHP. Les deux vulnérabilités sont respectivement numérotées CVE-2026-109618 et CVE-2026-109619, ce qui peut conduire à un déni de service, à l'exécution de code à distance et à une fuite de données sensibles.
Cloudflare a déclaré que la société avait commencé à préparer des mesures de protection avant que la vulnérabilité ne soit officiellement rendue publique et avait terminé le déploiement environ 9 heures avant que la vulnérabilité ne soit rendue publique. À partir de 3 h 02 UTC le 21 octobre, les clients gratuits et payants qui activent Cloudflare WAF bénéficieront d'une protection par défaut.
Ce travail de protection est l'une des actions de réponse coordonnées auxquelles Cloudflare a participé en collaboration avec la Fondation PHP, OpenAI, Wiz et d'autres organisations. Lorsque des informations sur les vulnérabilités sont divulguées à l'avance et que les attaquants commencent à tenter d'exploiter les vulnérabilités, les équipes de sécurité compétentes continuent d'ajuster les règles de protection et s'efforcent de fournir une protection supplémentaire aux services Internet avant que les opérateurs de sites Web n'achèvent les mises à niveau logicielles.
Cloudflare a déclaré qu'avant que la vulnérabilité ne soit officiellement rendue publique, la société avait observé un trafic d'attaque ciblant les clients. L’équipe de sécurité a également constaté que les attaquants continuaient de modifier les charges utiles des attaques pour tenter de contourner les mesures de protection déployées. En suivant le nombre de correspondances de règles et en analysant les changements chez les attaquants, combiné à la logique des règles, Cloudflare peut ajuster en permanence le mécanisme de détection pour faire face aux nouvelles variantes d'attaque.
PHP est un langage de programmation côté serveur largement utilisé sur Internet. Cloudflare a cité les données de W3Techs et a souligné que près de 70 % des sites Web dans le monde utilisent PHP. Les plates-formes de sites Web courantes, notamment WordPress et Magento, s'appuient toutes sur PHP pour fonctionner. Par conséquent, lorsqu’une vulnérabilité grave apparaît dans l’environnement d’exploitation sous-jacent, elle peut affecter un grand nombre de sites Web, de services en ligne et d’applications d’entreprise.
Cette vulnérabilité affecte le runtime PHP lui-même, et non un programme de site Web ou un plug-in spécifique. Un attaquant peut envoyer une requête HTTP spécialement construite au serveur, amenant PHP à gérer des problèmes de mémoire dans un état anormal. Selon les informations divulguées par Cloudflare, deux vulnérabilités impliquent l'incapacité de PHP à gérer en toute sécurité la mémoire associée et l'état interne en cas de manque de mémoire ou d'erreurs fatales lors du traitement de la demande.
La première vulnérabilité, CVE-2026-109618, implique la gestion des exceptions après épuisement de la mémoire. Lorsque PHP interrompt la requête alors que certaines données internes n'ont pas été initialisées, les opérations de nettoyage ultérieures peuvent utiliser par erreur ces données qui n'ont pas été efficacement initialisées comme des données normales, provoquant une corruption de la mémoire.
La deuxième vulnérabilité, CVE-2026-109619, implique l'état interne qui reste après la fin de la requête. Lorsqu'une erreur fatale se produit dans une requête, le processus PHP peut continuer à conserver les références à la mémoire libérée. Si le même processus traite ensuite une autre requête, il peut accéder à la mémoire expirée, entraînant une fuite de données sensibles ou même créant des conditions propices à de nouvelles attaques.
Un attaquant peut déclencher ces exceptions en construisant des requêtes spécifiques. Des requêtes plus volumineuses peuvent entraîner une pression sur la mémoire, mais le risque ne se limite pas à la consommation des ressources du serveur. Les attaquants peuvent également exploiter des failles dans la gestion de la mémoire invalide par le programme pour faire planter le processus PHP, divulguer des informations sensibles ou exécuter du code fourni par l'attaquant.
Face à de telles vulnérabilités, les règles traditionnelles de pare-feu pour les applications Web ne fournissent pas toujours une base de jugement suffisamment fiable. Cloudflare note qu'en inspectant uniquement les requêtes entrantes, il est parfois difficile de distinguer avec précision les attaques malveillantes du trafic normal. Si vous pouvez analyser simultanément la requête et la réponse renvoyée par le serveur, vous aurez la possibilité d'obtenir plus d'informations contextuelles, de déterminer plus précisément si l'attaque a réussi et de réduire la probabilité d'intercepter par erreur des requêtes normales.
À cette fin, Cloudflare a développé une nouvelle fonctionnalité WAF appelée « Full Transaction Detection ». Ce mécanisme combine les signaux de requête et de réponse dans la même transaction HTTP à des fins d'analyse. Lorsque les règles de détection confirment qu'une transaction répond aux caractéristiques d'attaque, le contenu de la réponse du serveur source peut être intercepté avant d'être renvoyé au demandeur.
Les règles de protection déployées pour php2shell sont les premières règles de détection gérées lancées par Cloudflare utilisant cette nouvelle fonctionnalité. La société estime qu'en analysant de manière approfondie les demandes et les réponses, elle peut identifier les attaques complexes tout en réduisant les erreurs d'évaluation possibles causées par le fait de se fier uniquement aux caractéristiques des demandes.
En termes de déploiement spécifique, Cloudflare a déclaré que les utilisateurs du package gratuit n'ont pas besoin d'activer manuellement de nouvelles règles de protection. Les règles pertinentes ont été automatiquement déployées dans l'ensemble de règles gratuit hébergé par Cloudflare. Les packages payants offrent une protection via des ensembles de règles gérés par Cloudflare. Les utilisateurs des éditions Professional, Business et Enterprise doivent confirmer que les ensembles de règles pertinents sont activés et en mode blocage, plutôt que de simplement enregistrer les événements d'attaque.
Cloudflare déploie également des règles de blocage par défaut pour les signatures d'attaque à haute confiance dans ses règles par défaut de Managed Response Firewall. Les utilisateurs peuvent accéder à l'interface d'analyse de sécurité pour afficher les demandes interceptées, les règles de correspondance et les chemins associés afin de comprendre si leur site Web est attaqué. Pour les clients qui nécessitent un contrôle plus granulaire, la portée des ensembles de règles gérés peut également être ajustée.
Cependant, Cloudflare a souligné à plusieurs reprises que la protection WAF ne peut être utilisée que dans le cadre d'une défense en profondeur et ne peut pas remplacer le patch PHP officiel. Même si le pare-feu Cloudflare est activé sur un site Web, les administrateurs doivent toujours mettre à jour le logiciel PHP exécuté sur le serveur dès que possible. La raison en est que WAF réduit principalement les risques en identifiant et en bloquant le trafic d'attaque connu ou détectable, alors que la vulnérabilité elle-même existe toujours dans l'environnement d'exécution PHP non corrigé. Une fois qu’un attaquant adopte une nouvelle méthode d’attaque ou que la requête n’est pas identifiée avec précision par les règles existantes, le système peut toujours être en danger.
Pour les organisations qui ne peuvent pas terminer la mise à niveau immédiatement, Cloudflare recommande de continuer à activer la protection WAF, tout en limitant les fonctions de téléchargement de fichiers inutiles et en définissant des limites raisonnables de taille de fichier pour les interfaces de téléchargement qui doivent être conservées. Ces mesures peuvent contribuer à réduire l’exposition de certaines voies d’attaque, mais elles ne peuvent pas résoudre complètement le problème de vulnérabilité. Pour les sites Web utilisant un hébergement géré, si l'opérateur ne peut pas gérer directement la version PHP, il doit contacter l'hébergeur dans les plus brefs délais pour confirmer s'il a déployé des mises à jour de sécurité officielles.
Cloudflare a déclaré que son équipe d'analyse de la sécurité continuera de surveiller les activités d'attaque et de mettre à jour les règles de protection en fonction des nouvelles technologies et des variantes de charge utile adoptées par les attaquants. La société recommande également aux utilisateurs de continuer à conserver la protection WAF appropriée tout en réparant les vulnérabilités PHP pour former une défense multicouche.
Cet incident met en évidence l'importance des mécanismes de réponse en matière de sécurité Internet. Pour les vulnérabilités logicielles sous-jacentes qui ont un impact important et peuvent être exploitées à distance, la simple publication d'un correctif ne suffit pas pour garantir que tous les sites Web soient immédiatement restaurés en sécurité, car la vitesse de mise à jour, les capacités de maintenance et les méthodes de gestion des serveurs des différents opérateurs varient considérablement. Les fournisseurs de services cloud déploient des règles de protection à l'avance pour gagner un temps précieux entre la publication des correctifs et l'installation à grande échelle.
Mais à long terme, la solution la plus fiable reste de passer à la version de réparation officiellement publiée de PHP. Les mesures de protection temporaires de Cloudflare peuvent constituer des barrières supplémentaires pour les sites Web, mais elles ne peuvent pas garantir que toutes les variantes d'attaque seront bloquées. Pour les sites Web exécutant PHP, la réparation rapide de l'environnement d'exploitation sous-jacent, le maintien des règles de pare-feu activées et la vérification continue des requêtes anormales restent des mesures clés pour gérer cette vulnérabilité php2shell.
Articles associés :
PHP a révélé de graves vulnérabilités de sécurité et les opérateurs de sites Web mondiaux sont entrés de toute urgence dans un état de mise à jour de correctifs
Commentaires