Post-mortem : vulnérabilités PHP « PHP2Shell » (CVE-2026-109618 / CVE-2026-109619)

Période : 21 octobre 2026, 12h30 au 22 octobre 2026, 00h20 (heure de Paris)
Statut : Résolu.
Services coupés : espace client (clients.yorkhost.fr), panel GAME (panel.yorkhost.fr), hébergement web cPanel (WEB-01), phpMyAdmin (MySQL-GAME-01, MySQL-GAME-02, MySQL-P-GAME-01), Virtualizor-01
Non impactés : serveurs de jeu et VPS, qui ont fonctionné normalement pendant toute la durée de l'incident.

Origine de l'incident

Deux vulnérabilités critiques, surnommées « PHP2Shell » (CVE-2026-109618 et CVE-2026-109619), ont été découvertes dans PHP. Elles se situent dans le moteur PHP lui-même et non dans une application : un site est donc exposé même si son propre code est parfaitement sécurisé. Elles permettent à un attaquant d'exécuter du code à distance sur un serveur, sans aucune authentification.

La situation a été aggravée par une fuite : le 20 octobre, les détails de ces failles ont été rendus publics avant la sortie du correctif officiel de PHP. Des attaquants disposaient donc d'informations pour les exploiter alors qu'aucune mise à jour n'était encore disponible, et une exploitation à grande échelle a été constatée dès le 21 octobre au matin.

Pourquoi nous avons coupé les services

Nos interfaces d'administration et d'hébergement reposent sur PHP. Les laisser en ligne avant correctif exposait à des risques majeurs :

• exécution de commandes sur nos serveurs par un attaquant non authentifié

• accès aux données clients (comptes, factures, coordonnées) et aux bases de données

• prise de contrôle du panel GAME, donc d'actions sur vos serveurs de jeu

• dépôt de code malveillant sur les sites hébergés

• rebond vers le reste de l'infrastructure

Des tentatives d'exploitation ont bien visé nos services : elles ont été détectées et bloquées. La coupure préventive était la seule manière de garantir qu'aucune de ces tentatives n'aboutisse.

Pourquoi nous n'avons pas tout rouvert dès la sortie du correctif

PHP a publié ses correctifs le 21 octobre vers 16h00. Nous avons volontairement attendu avant de rouvrir :

• plusieurs chercheurs en sécurité signalaient que le correctif pouvait être incomplet

• nous avons suivi l'évolution de la situation auprès de sources de sécurité indépendantes et des retours de la communauté

• certains services dépendaient de mises à jour d'éditeurs tiers (paquets PHP de CloudLinux pour WEB-01, mise à jour Softaculous pour Virtualizor)

• en parallèle, nous avons ajouté plusieurs couches de protection (règles WAF, filtrage en amont) et testé leur efficacité avant chaque réouverture.

Les services ont été remis en ligne progressivement à partir de 21h00, au fur et à mesure que chacun était vérifié (détail des horaires dans l'historique de l'incident).

Mesures en place et impact possible pour vous

• Correctifs PHP appliqués sur l'ensemble de nos services

• Règles de filtrage renforcées (Cloudflare et pare-feu applicatif sur nos serveurs) qui bloquent les requêtes correspondant aux schémas d'attaque connus. Effet de bord possible : certaines requêtes légitimes peuvent être bloquées (par exemple un formulaire d'envoi qui renvoie une erreur 403). Si votre site ou application se comporte anormalement, contactez-nous : nous ajusterons les règles au cas par cas

• Envois de fichiers désactivés (pièces jointes, uploads de l'hébergement web) en attendant les dernières mises à jour éditeurs. En cas de besoin urgent, contactez-nous sur Discord ou par email

• Aucun signe de compromission n'a été relevé lors de nos vérifications. La surveillance renforcée reste active

Face à une faille de cette gravité, déjà exploitée activement, nous avons fait le choix d'une interruption temporaire plutôt que d'un risque pour vos données et vos services.

Merci pour votre patience et votre confiance.

Les correctifs de sécurité PHP (CVE-2026-109618 / CVE-2026-109619, « php2shell ») ont été appliqués sur l'ensemble de nos services. L'espace client, le panel, phpMyAdmin et l'hébergement web sont de nouveau disponibles. Nos vérifications n'ont révélé aucun signe de compromission. Par précaution, les téléversements de fichiers (pièces jointes, téléversements sur l'hébergement web) restent temporairement désactivés en attendant les mises à jour définitives des éditeurs. Merci de votre patience.

L'interface Virtualizor-01 a été rétablie.

L'accès à cPanel (WEB-01) et aux différents sites a été rétabli.

Le panneau GAME est à nouveau accessible

L'espace client et les interfaces phpMyAdmin pour MySQL-GAME-01, MySQL-GAME-02 et MySQL-P-GAME-01 sont de nouveau accessibles.

PHP a publié aujourd'hui à 16h00 (CEST) des correctifs pour les vulnérabilités critiques php2shell (CVE-2026-109618 et CVE-2026-109619). Cependant, plusieurs chercheurs en sécurité rapportent que ce correctif pourrait être incomplet et que la faille pourrait encore être exploitable sur les versions mises à jour. Par précaution, les services suivants restent hors ligne :

• le panel de jeu (panel.yorkhost.fr) ;

• l'espace client (clients.yorkhost.fr) ;

• l'hébergement web PHP et phpMyAdmin.

Vos serveurs de jeu et VPS ne sont pas affectés et fonctionnent normalement. Notre équipe a appliqué tous les correctifs disponibles ainsi que plusieurs couches de protection supplémentaires. Nos vérifications initiales n'ont révélé aucun signe de compromission. Nous rouvrirons ces services dès que PHP publiera un correctif confirmé et que nous l'aurons vérifié. Pour toute demande urgente, contactez-nous sur Discord ou par e-mail. Merci de votre patience et de votre confiance.