---
title: "PHP2Shell : pourquoi internet est en feu aujourd'hui, et pourquoi PixelUnion n'est pas concerné"
description: "Deux failles critiques de PHP ont fuité avant qu'un correctif soit prêt, et une grande partie du web s'affole. Voici ce qu'est PHP2Shell, pourquoi c'est si grave et pourquoi vos photos sur PixelUnion ne risquent rien."
url: "https://pixelunion.eu/fr/blog/php2shell/"
date: "2026-10-21"
author: "Marc"
categories: ["Privacy"]
tags: ["Security","PHP","PHP2Shell","Vulnerability","Open source"]
---


Si vous travaillez près d'un serveur web, ce mercredi n'a rien de calme. Deux vulnérabilités critiques de PHP, surnommées PHP2Shell, ont fuité en ligne avant que l'équipe PHP puisse publier un correctif. Partout dans le monde, les administrateurs attendent un patch prévu à 14:00 UTC aujourd'hui, et les attaquants attendent avec eux.

Version courte pour les utilisateurs de PixelUnion : vos photos ne risquent rien. La version longue suit.

## Ce qu'est PHP2Shell

PHP2Shell désigne deux failles, CVE-2026-109618 et CVE-2026-109619. Toutes deux sont notées 9,2 sur 10 sur l'échelle CVSS v4.0. Cette note signifie qu'un attaquant peut exécuter son propre code sur un serveur vulnérable sans s'authentifier. Concrètement : envoyer la bonne requête à un site web, obtenir un shell sur la machine qui l'héberge. D'où le nom.

La cause exacte n'a pas été publiée. Les chercheurs soupçonnent un bug de mémoire (un use-after-free) dans la partie de PHP qui gère les envois de fichiers, mais ce n'est pas encore confirmé, et au moins un audit le conteste. Ce qui est confirmé : la société de sécurité watchTowr affirme avoir reproduit l'un des deux bugs et déclare que « ces vulnérabilités sont bien réelles ». Les versions de PHP touchées ne sont pas non plus établies. Les premières affirmations évoquent tout ce qui remonte jusqu'à PHP 5.4, et PHP n'a publié aucune plage officielle.

## Pourquoi internet est en feu aujourd'hui

Trois éléments rendent cette faille plus grave qu'un bulletin de sécurité ordinaire.

D'abord, l'ampleur. PHP fait tourner environ les trois quarts des sites dont le langage serveur est connu. WordPress, la plupart des boutiques en ligne, d'innombrables panneaux d'hébergement et forums reposent dessus. Une faille d'exécution de code à distance dans PHP lui-même, et non dans un plugin ou une application, touche d'un coup une énorme part du web.

Ensuite, la fuite. Normalement, le correctif sort d'abord et les détails suivent, ce qui laisse de l'avance aux défenseurs. Cette fois, les détails sont sortis avant le patch. Le contournement qui a circulé en premier, désactiver la fonction de suivi de progression des envois de PHP, s'est révélé incomplet. Pendant un moment, tout le monde savait que la porte était ouverte et personne n'avait de serrure.

Enfin, le patch lui-même devient une carte. Une fois les versions corrigées publiques, les attaquants peuvent comparer l'ancien et le nouveau code et voir exactement ce qui a changé. La société de sécurité Sansec s'attend à une exploitation massive environ 15 minutes après la publication. Par ailleurs, les scans montrent qu'environ 884 000 serveurs exposés sur internet annoncent encore PHP 8.1 ou une version plus ancienne. Ces branches sont en fin de vie et ne recevront probablement jamais de correctif.

Aujourd'hui, beaucoup de gens surveillent donc une page de publication, prêts à mettre à jour dès qu'elle sort. Certains n'y arriveront pas à temps.

## Pourquoi PixelUnion n'est pas concerné

PixelUnion repose sur Immich, et Immich n'est pas écrit en PHP. Le serveur est en TypeScript sur Node.js, avec un service d'apprentissage automatique distinct en Python. Aucun interpréteur PHP ne se trouve entre votre téléphone et vos photos. Un bug dans la gestion des envois de PHP ne peut pas être déclenché sur un serveur qui n'exécute pas PHP.

Pour être complets : nous avions bien un petit service périphérique sous PHP. Il se trouvait en dehors de la plateforme photo, sur une infrastructure séparée, sans aucun accès à votre bibliothèque. Nous ne voulions pas parier sur l'arrivée à temps d'un patch inconnu, alors nous l'avons arrêté avant la fenêtre de publication. Il reste éteint tant que nous n'avons pas vérifié une version corrigée.

Rien de tout cela ne signifie que nous nous croyons à l'abri des problèmes de sécurité. Toute pile a ses bugs, la nôtre comprise. Ce qui compte, c'est de savoir exactement ce qui tourne où, de garder une surface d'attaque réduite et d'agir vite quand ce genre de faille tombe. C'est notre travail, et nous continuons à le faire.

Si vous gérez vos propres sites PHP, consultez les [annonces de sécurité de PHP](https://www.php.net/) et appliquez le correctif dès la sortie de la version. Si vous cherchez un endroit pour vos photos conçu avec ce niveau de soin, nous serions ravis de vous accueillir.

[Commencez gratuitement avec PixelUnion →](https://pixelunion.eu)

*Photo de couverture de [Ricardo Gomez Angel](https://unsplash.com/@rgaleriacom) sur [Unsplash](https://unsplash.com/photos/bonfire--98jVaVuGv0).*