Deux failles critiques dans PHP, référencées CVE-2026-109618 et CVE-2026-109619 et surnommées PHP2Shell, permettraient d’exécuter du code à distance sans authentification sur les serveurs concernés. PHP équipe 69,3 % des sites dont le langage côté serveur est identifié, mais la France ne represents que 60 % des 11 millions de services PHP détectés dans le monde, et cette estimation était gonflée par un comptage erroné des Freebox. Rien ne confirme à ce stade que les Freebox sont vulnérables, et la présence de PHP sur un serveur ne suffit pas à établir qu’il peut être compromis. Les administrateurs doivent installer les correctifs dès leur publication au niveau du serveur, vérifier l’accès distant à Freebox OS et, pour les activités crypto, différer les opérations non urgentes sur les sites dont la sécurité est incertime.
Source: Lire l’article original
