PHP avertit d'un nouveau risque RCE non corrigé après les patches PHP2Shell
23 octobre 2026 · Cybersécurité
Deux jours après les correctifs d'urgence pour les failles PHP2Shell (CVE-2026-109618 et CVE-2026-109619), PHP signale une nouvelle vulnérabilité RCE non corrigée, CVE-2026-115560, affectant des configurations inhabituelles. PHP recommande de désactiver session.upload_progress.enabled en attendant le prochain correctif de routine. Parallèlement, les tentatives d'exploitation des deux failles PHP2Shell initiales ont explosé, passant de dizaines de milliers à des millions en quelques heures selon Cloudflare, avec des tentatives d'installation d'un variant Mirai observées par Sophos et Arctic Wolf. Aucune exploitation confirmée de CVE-2026-115560 n'a été rapportée.
Impact marchés
Secteur cybersécurité : fournisseurs de WAF, CDN (Cloudflare), hébergeurs web et solutions de sécurité PHP exposés. Éditeurs de solutions de protection (Wordfence, Sophos, Arctic Wolf) en position de visibilité accrue. Aucune entreprise cotée directement impactée mentionnée comme victime.
Opportunités
Opportunité pour les éditeurs de solutions de protection applicative (WAF, RASP) et de détection d'intrusion. Risque pour les hébergeurs mutualisés exposant PHP non patché. À surveiller : confirmation d'exploitation active de CVE-2026-115560 ou escalade des attaques PHP2Shell avec exécution de code réussie.