PHP2Shell : la faille PHP qui menace téléphones et réseaux d’hôtel

PHP2Shell, le surnom donné au couple CVE-2026-109618 et CVE-2026-109619, ne vise pas un produit hôtelier ni même une application : il vise le moteur PHP lui-même, qui fait tourner les sites des établissements mais aussi les interfaces d’administration de nombreuses appliances réseau, téléphoniques et de contrôle d’accès. Corrigées le 21 octobre 2026, les deux failles sont exploitées activement, y compris contre des consoles exposées à Internet, comme Palo Alto Networks l’a confirmé le 28 octobre. La question n’est plus quel produit est fragile, mais où le parc fait tourner du PHP.

Deux failles du moteur, pas d’une application

CVE-2026-109618 naît dans la gestion des erreurs de mémoire épuisée de l’interpréteur : provoqué à distance, un épuisement laisse la requête abandonnée dans un état invalide que la procédure de fermeture relit. CVE-2026-109619 complète le tableau : un état global pointerait vers une mémoire déjà libérée, relue au fil des requêtes. Enchaînées, elles donnent une exécution de code à distance sans authentification, notée 9,8 CVSS 3.1 par la NVD. Le groupe PHP a corrigé le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; la CISA a inscrit le couple au catalogue KEV le 26 octobre pour exploitation réelle. La mesure de contournement session.upload_progress.enabled=0 ferme aussi une troisième variante apparue depuis.

Une exploitation confirmée hors des laboratoires

Palo Alto Networks a déclaré le 28 octobre une exploitation active de ses interfaces d’administration PAN-OS exposées à Internet : console web HTTPS et service API XML seulement, les interfaces de données n’étant touchées que si un profil d’administration leur est attaché. Aucune configuration particulière n’est nécessaire pour être à risque, écrit l’éditeur, qui épargne GlobalProtect portail, passerelle et Clientless VPN et voyait, au 30 octobre, chaque branche soutenue dotée de son hotfix. Les clients corrigés, comme ceux qui gardent l’administration hors d’Internet, ne sont pas touchés. L’entreprise Dream avait documenté quelques jours plus tôt une chaîne couplant PHP2Shell à Fragnesia (CVE-2026-46300, noyau Linux, ajoutée au KEV le 28 octobre) : une vingtaine de serveurs pris en main aux États-Unis, au Japon, à Taïwan et en Corée du Sud, dont trois gouvernementaux américains. Unit 42 dénombrait plus de 22,6 millions d’instances exposées potentiellement vulnérables.

Pourquoi les hôtels sont en première ligne

Sites vitrines, moteurs de réservation, espaces clients et back-offices reposent massivement sur PHP, souvent infogérés, rarement inventoriés. S’y ajoutent les appliances : standard téléphonique, contrôleur d’accès réseau, passerelle de messagerie, serveur de serrures embarquent une interface web d’administration, souvent bâtie en PHP, que le support distant laisse parfois ouverte sur Internet. C’est exactement ce que frappe l’exploitation confirmée de PAN-OS. Le contrôle d’accès réseau, ou NAC, décide quels équipements joignent le Wi-Fi clients, les réseaux opérationnels ou la bureautique : le maîtriser livre la carte du réseau de l’établissement, pas une machine.

Fournisseurs : qui est confirmé, qui est présumé, au 30 octobre 2026

• Mitel. L’avis MISA-2026-0008, révision 6.0 du 28 octobre, confirme MiVoice 5000 en R8.4 et antérieures, corrigées par SecurityPatch_R8.X_20, OpenScape Branch et OpenScape SBC jusqu’à V11R3.4.3, MiContact Center Enterprise jusqu’à 9.8 SP0 FP1 et MiVoice Connect jusqu’à R20.0 SP2, correctif ou contournement selon les lignes. Unify Phone et CloudLink, les services cloud exploités par Mitel, sont déclarés non concernés. L’éditeur affiche un bandeau « PHP Security Issue : Some Mitel sites temporarily blocked », mesure provisoire pendant l’évaluation. L’avis frangin MISA-2026-0010 couvre la faille du décodeur Brotli CVE-2026-111497, surnommée node2shell, mais épargne MiVoice 5000.
• HPE Aruba ClearPass Policy Manager. L’avis HPESBNW05171, révision 2 du 23 octobre, déclare pleinement affectées les versions 6.14.1 et antérieures comme 6.11.16 et antérieures. Piège : la montée de version ne suffit pas, il faut poser le hotfix PHP dédié, publié depuis pour les deux branches. HPE demande de retirer portails invités et interfaces d’administration de l’accès public en attendant. Les autres produits Aruba Networking ne sont pas connus comme touchés.
• Palo Alto Networks PAN-OS. Confirmé et activement exploité sur les consoles exposées ; hotfixes achevés au 30 octobre pour toutes les branches soutenues.
• Barracuda. L’Email Security Gateway est déclaré non concerné, soit la passerelle de messagerie la plus courante en hôtellerie ; des correctifs sont sortis pour la Backup Service Appliance (micrologiciel 6.7.00), le Firewall Secure Connector (3.1.2), SecureEdge et Firewall Insights, et les services cloud sont annoncés traités. La troisième faille PHP du moment, CVE-2026-115560, ne touche aucun produit de l’éditeur ; le volet hébergement web est détaillé dans notre fiche CVE-2026-109618.
• dormakaba. L’avis DKSA-26-23-101 du 23 octobre déclare expressément non concernées toutes les gammes exos 9300, MATRIX, evolo, exivo, resivo, B-COMM, skyra, EntriWorX, Keyscan, Ambiance et Community. Le risque résiduel vise le PHP exploité par l’établissement lui-même, hors du périmètre de l’avis.
• À présumer exposé : tout le reste du PHP. Toute interface maison, portail d’intégrateur ou site sur PHP 8.2 à 8.5 non corrigé est dans le périmètre, et PHP 8.1 et antérieurs, hors maintenance, ne seront jamais corrigés. Faute de position officielle, un produit se présume concerné jusqu’à preuve écrite du contraire.

Que faire, dans l’ordre

1. Inventorier le PHP système par système et poser à l’intégrateur, par écrit, les deux questions qui comptent : quelle version de micrologiciel ou de PHP tourne, et l’interface d’administration est-elle joignable depuis Internet. Réponse écrite, établissement par établissement.
2. Corriger au build près, celui que l’avis nomme : SecurityPatch_R8.X_20 pour MiVoice 5000, hotfix PHP sur 6.14.1 ou 6.11.16 pour ClearPass, hotfix de branche pour PAN-OS, PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 pour les sites, mesure de contournement activée en attendant.
3. Administration jamais sur le WAN : adresses internes de confiance voire machine relais dédiée pour Palo Alto Networks, VLAN dédié pour HPE. VPN, machine relais, compte constructeur par canal sécurisé, tout sauf le port ouvert.
4. Segmenter : plan d’administration séparé des VLAN clients et opérationnels, portail invités isolé dans sa zone. Une brèche sur une interface PHP ne doit ouvrir ni le réseau, ni les étages.
5. Chercher les traces : fichiers ajoutés récemment dans les racines web, processus inattendus du worker, trafic sortant anormal, signatures des web shells. Le KEV impose échéance et investigation aux agences fédérales américaines ; même discipline à s’imposer sur les systèmes critiques de l’hôtel.
6. Faire attester par les hébergeurs et exploitants d’appliances les builds déployés, propriété par propriété, par écrit.

Vérifier son exposition en pratique

Trois vérifications sans équipe de sécurité. Depuis l’extérieur : noter ce qui répond sur les adresses publiques de l’établissement et fermer sans attendre toute page de login d’administration qui n’est pas le site de réservation. En interne : exiger de chaque mainteneur la version exacte installée et la liste écrite des ouvertures pratiquées pour le support distant. Chez les éditeurs : veiller Mitel, HPE, Barracuda et Palo Alto Networks, ces avis sont mis à jour presque chaque jour. Quand le socle du web prend l’eau, les victimes sont les bâtiments où mille petites interfaces s’exposent en silence.