{"id":24474,"date":"2026-10-23T17:31:01","date_gmt":"2026-10-23T15:31:01","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=24474"},"modified":"2026-10-23T17:31:01","modified_gmt":"2026-10-23T15:31:01","slug":"how-to-mitigate-php2shell-at-home","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/how-to-mitigate-php2shell-at-home\/24474\/","title":{"rendered":"Comment les nouvelles vuln\u00e9rabilit\u00e9s PHP menacent les particuliers"},"content":{"rendered":"

Le 21 octobre, deux vuln\u00e9rabilit\u00e9s critiques ont \u00e9t\u00e9 divulgu\u00e9es dans PHP, le langage de script utilis\u00e9 par de nombreux sites web et services en ligne : CVE-2026-109618<\/a> et CVE-2026-109619<\/a>. Des attaquants peuvent les exploiter pour ex\u00e9cuter \u00e0 distance des commandes sur n\u2019importe quel serveur ex\u00e9cutant PHP, sans aucune authentification. L\u2019exploit a \u00e9t\u00e9 baptis\u00e9 PHP2Shell.<\/p>\n

L\u2019\u00e9quipe de s\u00e9curit\u00e9 de PHP a annonc\u00e9 une mise \u00e0 jour d\u2019urgence \u00e0 venir le 20 octobre et a publi\u00e9 d\u00e8s le lendemain des correctifs pour les vuln\u00e9rabilit\u00e9s.<\/p>\n

Auparavant, nous avons pr\u00e9sent\u00e9 les d\u00e9tails techniques de ces vuln\u00e9rabilit\u00e9s<\/a> et expliqu\u00e9 ce que les entreprises et les administrateurs de serveurs doivent faire<\/a>. Vous avez peut-\u00eatre ignor\u00e9 cette actualit\u00e9 en toute tranquillit\u00e9 parce que vous ne g\u00e9rez aucun serveur \u2014 malheureusement, le probl\u00e8me ne concerne pas uniquement les entreprises.<\/p>\n

Pr\u00e8s de 70 % des sites web utilisent PHP, notamment des services que nous utilisons chaque jour : wikis, boutiques en ligne, appareils connect\u00e9s dot\u00e9s d\u2019interfaces web, syst\u00e8mes de stockage en r\u00e9seau domestiques (NAS), contr\u00f4leurs de maison connect\u00e9e, et bien plus encore.<\/p>\n

Aujourd\u2019hui, nous expliquons comment ces vuln\u00e9rabilit\u00e9s peuvent vous affecter personnellement et ce que vous pouvez faire pour r\u00e9duire les risques.<\/p>\n

Comment ces vuln\u00e9rabilit\u00e9s peuvent affecter les particuliers<\/h2>\n

Vol de comptes et de donn\u00e9es personnelles<\/h3>\n

La vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant de d\u00e9rober des jetons d\u2019authentification dans la m\u00e9moire d\u2019un serveur. Ces jetons fonctionnent en quelque sorte comme des laissez-passer \u00e9lectroniques : ils indiquent \u00e0 un site web que l\u2019utilisateur est d\u00e9j\u00e0 connect\u00e9. Ainsi, un attaquant pourrait acc\u00e9der au compte de quelqu\u2019un d\u2019autre sans saisir de mot de passe ni de code d\u2019authentification \u00e0 deux facteurs, mettant en danger les messages, documents, adresses de livraison, historiques de commandes et autres informations confidentielles.<\/p>\n

Perte de fichiers sur les appareils domestiques<\/h3>\n

Si vous utilisez chez vous un syst\u00e8me de stockage en r\u00e9seau (NAS) ou un syst\u00e8me de vid\u00e9osurveillance reposant sur une version vuln\u00e9rable de PHP, il peut lui aussi \u00eatre expos\u00e9. Selon le niveau d\u2019acc\u00e8s obtenu, les attaquants pourraient copier, supprimer ou chiffrer les fichiers auxquels ils parviennent \u00e0 acc\u00e9der.<\/p>\n

Infection par des logiciels malveillants<\/h3>\n

Si un attaquant prend le contr\u00f4le d\u2019un site web vuln\u00e9rable, il peut pratiquement l\u2019utiliser \u00e0 sa guise : inciter les visiteurs \u00e0 t\u00e9l\u00e9charger un fichier malveillant ou \u00e0 cliquer sur un lien de phishing, afficher des instructions dangereuses, remplacer des formulaires de paiement ou des pages de connexion par des versions malveillantes \u2014 et la liste est encore longue. Ainsi, une personne visitant un site web l\u00e9gitime pourrait non seulement perdre l\u2019acc\u00e8s \u00e0 son compte, mais \u00e9galement perdre de l\u2019argent ou infecter accidentellement son appareil avec un logiciel malveillant.<\/p>\n

Voici quelques exemples de services directement touch\u00e9s par ces vuln\u00e9rabilit\u00e9s.<\/p>\n

Quels services sont concern\u00e9s par les vuln\u00e9rabilit\u00e9s PHP<\/h2>\n

Jeedom<\/h3>\n

Jeedom est une plateforme de maison connect\u00e9e qui permet de contr\u00f4ler l\u2019\u00e9clairage, les capteurs, le chauffage, les volets et les appareils IoT domestiques. Les attaquants pourraient en abuser de nombreuses fa\u00e7ons : d\u00e9sactiver l\u2019alarme, surveiller les p\u00e9riodes d\u2019absence des occupants, acc\u00e9der \u00e0 la vid\u00e9o de l\u2019interphone, etc.<\/p>\n

Les d\u00e9veloppeurs ont confirm\u00e9 que la nouvelle vuln\u00e9rabilit\u00e9 affectait leur application et ont d\u00e9j\u00e0 publi\u00e9 une mise \u00e0 jour d\u2019urgence<\/a>, Jeedom 4.6.2. Les utilisateurs doivent ex\u00e9cuter la mise \u00e0 jour deux fois pour qu\u2019elle fonctionne correctement. Selon les d\u00e9veloppeurs, une version enti\u00e8rement corrig\u00e9e destin\u00e9e aux particuliers sera publi\u00e9e dans les prochains jours.<\/p>\n

Les sites web que nous utilisons tous les jours<\/h3>\n

Comme indiqu\u00e9 plus haut, PHP est utilis\u00e9 par environ 70 % des sites web. Cela ne signifie pas qu\u2019ils sont tous vuln\u00e9rables : tout d\u00e9pend de la version de PHP utilis\u00e9e et du fait que les propri\u00e9taires du site l\u2019aient d\u00e9j\u00e0 mise \u00e0 jour ou non. De nombreux sites gouvernementaux en Europe ont d\u00e9j\u00e0 suspendu leurs activit\u00e9s<\/a> en raison de la nouvelle vuln\u00e9rabilit\u00e9.<\/p>\n

Malheureusement, un site web peut rester vuln\u00e9rable m\u00eame s\u2019il semble fonctionner normalement. Un attaquant pourrait potentiellement prendre le contr\u00f4le de n\u2019importe quel site l\u00e9gitime dont le serveur n\u2019a pas encore \u00e9t\u00e9 corrig\u00e9. Il pourrait falsifier des pages de paiement ou de connexion, h\u00e9berger des fichiers malveillants ou convaincre les utilisateurs de t\u00e9l\u00e9charger une \u00a0\u00bb mise \u00e0 jour urgente \u00a0\u00bb qui serait en r\u00e9alit\u00e9 un logiciel malveillant.<\/p>\n

Les utilisateurs ordinaires ne disposent d\u2019aucun moyen fiable pour v\u00e9rifier si ces instructions ou fichiers sont s\u00fbrs. Veillez donc \u00e0 utiliser une protection fiable contre le phishing et les logiciels malveillants<\/a>. Si vous pensez que vos donn\u00e9es ont pu \u00eatre vol\u00e9es, v\u00e9rifiez les sessions actives dans les param\u00e8tres de votre compte. Si vous constatez une activit\u00e9 suspecte ou des appareils que vous ne reconnaissez pas, d\u00e9connectez toutes les sessions actives et modifiez votre mot de passe. Utilisez un gestionnaire de mots de passe<\/a>\u00a0: il peut g\u00e9n\u00e9rer un mot de passe r\u00e9ellement robuste et unique que vous n\u2019aurez pas besoin de m\u00e9moriser.<\/p>\n

Jeux video<\/h3>\n

Mauvaise nouvelle pour les joueurs : certains jeux vid\u00e9o dont les serveurs utilisent PHP sont \u00e9galement expos\u00e9s. Si vous ne voulez pas que des attaquants prennent le contr\u00f4le de vos comptes, pensez \u00e0 mettre \u00e0 jour les mots de passe de vos plateformes de jeu, boutiques et comptes.<\/p>\n

Pour gagner du temps afin de d\u00e9ployer les mises \u00e0 jour, certains d\u00e9veloppeurs ont temporairement mis leurs services hors ligne. Final Fantasy XIV, Pokemon Champions, des jeux de Bandai Namco Entertainment, Uma Musume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond et bien d\u2019autres sont pass\u00e9s en maintenance d\u2019urgence. Nintendo Switch Online ainsi que les boutiques GOG et Steam ont \u00e9galement \u00e9t\u00e9 touch\u00e9s<\/a>.<\/p>\n

Malheureusement, les cons\u00e9quences ont parfois \u00e9t\u00e9 encore plus radicales. Hier, les d\u00e9veloppeurs de World Quest ont annonc\u00e9<\/a> la fermeture d\u00e9finitive du jeu apr\u00e8s 15 ans d\u2019existence : il reposait sur une infrastructure obsol\u00e8te dont la correction aurait \u00e9t\u00e9 extr\u00eamement complexe et co\u00fbteuse. Pour la m\u00eame raison, le jeu mobile Please Save My Pandemonium! a ferm\u00e9 apr\u00e8s plus de dix ans d\u2019exploitation.<\/p>\n

Stockage en r\u00e9seau domestique (NAS)<\/h3>\n

Les \u00a0\u00bb clouds domestiques \u00a0\u00bb sont devenus populaires ces derni\u00e8res ann\u00e9es, et ce n\u2019est pas sans raison : de nombreux utilisateurs pr\u00e9f\u00e8rent conserver leurs sauvegardes de donn\u00e9es chez eux plut\u00f4t qu\u2019en ligne. Plusieurs entreprises fabriquent des appareils NAS et au moins trois d\u2019entre elles \u2014 QNAP, Synology et ASUSTOR \u2014 ont indiqu\u00e9 que ces vuln\u00e9rabilit\u00e9s affectaient leurs produits. Une mise \u00e0 jour a \u00e9galement \u00e9t\u00e9 publi\u00e9e pour Unraid, un syst\u00e8me d\u2019exploitation destin\u00e9 aux serveurs domestiques, aux syst\u00e8mes de stockage en r\u00e9seau et aux serveurs multim\u00e9dias.<\/p>\n

QNAP<\/h4>\n

Le fabricant a confirm\u00e9 que les vuln\u00e9rabilit\u00e9s affectaient plusieurs versions de ses syst\u00e8mes d\u2019exploitation NAS \u2014 QTS et QuTS hero \u2014 ainsi que des applications comme QuMagie, Note Station 3 et certaines versions de QVR Surveillance. Une attaque r\u00e9ussie pourrait mettre en danger les photos, documents, notes et enregistrements de cam\u00e9ras.<\/p>\n

Au moment de la publication, QNAP pr\u00e9pare encore ses mises \u00e0 jour. La priorit\u00e9 consiste donc \u00e0 d\u00e9connecter temporairement le NAS d\u2019Internet. QNAP recommande de d\u00e9sactiver la redirection de ports sur le routeur, d\u2019emp\u00eacher le NAS d\u2019ouvrir automatiquement des ports et de n\u2019autoriser l\u2019acc\u00e8s au panneau d\u2019administration que depuis le r\u00e9seau domestique ou via un VPN<\/a>.<\/p>\n

Synology<\/h4>\n

Les deux vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 officiellement confirm\u00e9es<\/a> dans les paquets PHP 7.3, 7.4 et 8.0 \u00e0 8.4, ainsi que dans Mail Station et Synology Calendar. Des correctifs ont d\u00e9j\u00e0 \u00e9t\u00e9 publi\u00e9s pour PHP \u00e0 partir de la version 7.4, ainsi que pour Mail Station et Synology Calendar. PHP 7.3 ne sera pas corrig\u00e9. L\u2019entreprise pr\u00e9cise \u00e9galement que le composant PHP int\u00e9gr\u00e9 \u00e0 son syst\u00e8me d\u2019exploitation n\u2019est pas accessible depuis l\u2019ext\u00e9rieur de l\u2019appareil, de sorte que le risque d\u2019attaque est tr\u00e8s faible.<\/p>\n

ASUSTOR<\/h4>\n

ASUSTOR a \u00e9galement confirm\u00e9 officiellement les deux vuln\u00e9rabilit\u00e9s<\/a> et supprim\u00e9 imm\u00e9diatement d\u2019App Central les paquets PHP 7, 7.3, 7.4 et 8.1. L\u2019entreprise recommande d\u2019effectuer imm\u00e9diatement une sauvegarde des donn\u00e9es, de supprimer les anciens paquets PHP et d\u2019utiliser PHP 8.3 ou 8.4.<\/p>\n

Unraid<\/h4>\n

Dans la mise \u00e0 jour du syst\u00e8me d\u2019exploitation publi\u00e9e aujourd\u2019hui<\/a>, PHP a \u00e9t\u00e9 mis \u00e0 niveau vers la version 8.4.27, qui int\u00e8gre les correctifs de ces vuln\u00e9rabilit\u00e9s. Les d\u00e9veloppeurs recommandent \u00e0 tous les utilisateurs de passer \u00e0 Unraid 7.3.4. Les conteneurs disposant de leur propre installation PHP doivent \u00eatre mis \u00e0 jour s\u00e9par\u00e9ment : la nouvelle version de PHP incluse dans le syst\u00e8me d\u2019exploitation ne remplace pas celle install\u00e9e dans les conteneurs.<\/p>\n

Au moment de la publication, nous n\u2019avions trouv\u00e9 aucune confirmation publique de la part d\u2019autres grands fabricants, comme TerraMaster, UGREEN, Buffalo ou Western Digital, indiquant que leurs appareils \u00e9taient affect\u00e9s par ces vuln\u00e9rabilit\u00e9s \u2014 seulement des discussions d\u2019utilisateurs sur des forums.<\/p>\n

Cependant, le fait que seuls certains fabricants de NAS aient confirm\u00e9 le probl\u00e8me jusqu\u2019\u00e0 pr\u00e9sent ne garantit pas que vos appareils soient \u00e0 l\u2019abri, en particulier s\u2019ils sont relativement anciens ou proviennent d\u2019un fabricant peu connu ou qui n\u2019existe plus. Dans ce cas, commencez par d\u00e9connecter ces appareils d\u2019Internet tout en les laissant accessibles uniquement sur le r\u00e9seau local, puis v\u00e9rifiez s\u2019ils sont vuln\u00e9rables.<\/p>\n

Stockage cloud Nextcloud<\/h4>\n

Nextcloud est une plateforme gratuite et open source qui permet de cr\u00e9er son propre espace de stockage cloud et constitue une alternative \u00e0 Google Drive, Dropbox et Microsoft OneDrive. Elle permet de stocker et de synchroniser des fichiers sur plusieurs appareils, de les partager avec d\u2019autres utilisateurs et de travailler avec des documents, des photos, des calendriers et des contacts. Les donn\u00e9es peuvent \u00eatre stock\u00e9es sur votre propre serveur ou NAS plut\u00f4t que sur les serveurs d\u2019une entreprise tierce.<\/p>\n

Si vous stockez des donn\u00e9es importantes dans Nextcloud, v\u00e9rifiez la configuration de votre instance cloud. Si vous utilisez Nextcloud All-in-One, effectuez la mise \u00e0 jour vers la version 14.4.1<\/a>, dans laquelle la vuln\u00e9rabilit\u00e9 a d\u00e9j\u00e0 \u00e9t\u00e9 corrig\u00e9e.<\/p>\n

Si votre installation Nextcloud est configur\u00e9e autrement, vous devez mettre \u00e0 jour PHP vous-m\u00eame sur l\u2019appareil ou le serveur.<\/p>\n

Comment prot\u00e9ger vos appareils et vos donn\u00e9es<\/h2>\n