PHP2Shell inquiète les acteurs crypto après la découverte de deux vulnérabilités critiques dans PHP. Amazon affirme avoir détecté une tentative d’exploitation dès le 17 octobre 2026. Les correctifs officiels ont suivi le 21 octobre 2026.
Changpeng Zhao, cofondateur de Binance, appelle les internautes à la prudence. Le risque concerne d’abord les serveurs web vulnérables, pas directement les blockchains. Aucun piratage de Binance n’est établi par cette alerte.
Points clés sur PHP2Shell et Binance :
- Deux failles critiques : CVE-2026-109618 et CVE-2026-109619 obtiennent chacune 9,2 sur 10 selon CVSS v4.0.
- Exploitation précoce : AWS date une tentative au 17 octobre, avant la divulgation et les correctifs du 21.
- Protection prioritaire : les administrateurs doivent actualiser PHP ; les utilisateurs crypto doivent vérifier les sites et signatures.
PHP2Shell : AWS détecte des attaques avant les correctifs PHP
La chronologie explique l’urgence. La divulgation publique n’a pas marqué le début des tentatives hostiles. Certaines infrastructures étaient déjà ciblées.
Une tentative observée dès le 17 octobre dans les honeypots Amazon
Amazon Threat Intelligence a identifié une tentative PHP2Shell dans son réseau de capteurs MadPot, datée du 17 octobre 2026. L’origine utilisait une infrastructure d’anonymisation commerciale. AWS ne sait pas comment l’acteur a obtenu les informations avant divulgation. Cette observation concerne une tentative contre un honeypot, pas une intrusion confirmée chez Binance.
Le 21 octobre, d’autres essais ont visé les capteurs Amazon. Après publication des correctifs, des preuves de concept ont circulé rapidement. AWS décrit désormais une exploitation largement observée. L’entreprise souligne néanmoins qu’elle ignore si ces tentatives auraient réussi sur des serveurs réels. PHP2Shell exige donc une réponse rapide, sans extrapoler le nombre de victimes.
Deux CVE notées 9,2 sur 10, avec exécution de code possible
CVE-2026-109618 concerne une corruption de mémoire lors du traitement d’une erreur d’épuisement mémoire. Le nettoyage d’une requête peut exploiter des données internes mal initialisées. CVE-2026-109619 concerne un état global conservant une référence vers une mémoire déjà libérée. Une requête ultérieure peut réutiliser cet état incorrect.
Dans certaines configurations, PHP2Shell autorise une exécution de code à distance sans authentification. Le danger provient du moteur PHP, avant même certaines protections applicatives. PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed sont concernés. Le risque est particulièrement élevé avec mod_php, selon PHP. Les deux scores CVSS v4.0 atteignent 9,2.
Binance : pourquoi PHP2Shell inquiète les détenteurs de cryptomonnaies
L’avertissement de Changpeng Zhao concerne la confiance accordée aux sites consultés. Il n’annonce pas une attaque de Binance ni une faille du réseau Bitcoin.
L’alerte de Changpeng Zhao ne signifie pas que Binance est piraté
Le cofondateur de Binance recommande une vigilance renforcée lors de la navigation. Des administrateurs peuvent tarder à installer les correctifs. Le lien avec Binance tient donc à cet avertissement public, non à une compromission démontrée de sa plateforme. Il faut distinguer le risque sectoriel d’un incident informatique confirmé.
Un site compromis par PHP2Shell pourrait afficher un formulaire trompeur, remplacer une adresse de dépôt ou solliciter une signature. Ces scénarios menacent potentiellement les utilisateurs de Binance comme ceux d’autres services crypto. Ils nécessitent cependant des étapes supplémentaires après l’intrusion serveur. Une faille PHP ne donne pas automatiquement accès aux clés privées d’un wallet.
WordPress, plateformes crypto et wallets : où se situe le risque ?
La vulnérabilité affecte PHP lui-même, pas directement WordPress, Drupal, Magento ou Joomla. Un site utilisant ces logiciels peut néanmoins reposer sur un runtime vulnérable. Son exposition dépend de la version réellement exécutée et de son architecture. Les protections intégrées au CMS ne suffisent pas toujours.
Les utilisateurs de Binance et des autres plateformes crypto doivent examiner les demandes de connexion inattendues. Vérifier l’adresse du site reste essentiel. Ils doivent refuser les signatures de wallet incomprises et ne jamais partager leur phrase de récupération. PHP2Shell vise initialement un serveur ; l’attaque contre un visiteur constitue un risque indirect.
PHP2Shell : quelles mesures de protection après l’alerte Binance ?
PHP a publié les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12 le 21 octobre. Les administrateurs doivent immédiatement mettre à jour le runtime et redémarrer les processus concernés. Ils doivent aussi vérifier les environnements conteneurisés et les composants embarqués. Mettre seulement WordPress à jour ne corrige pas automatiquement PHP2Shell.
Les branches PHP 8.1 et antérieures ne reçoivent plus de maintenance ordinaire du projet. Des fournisseurs Linux ou de support étendu peuvent proposer des correctifs rétroportés. Le projet PHP a également publié des correctifs source exceptionnels pour certaines anciennes branches. Leur disponibilité doit être vérifiée auprès du fournisseur.
Un pare-feu applicatif peut réduire certaines attaques, mais ne remplace pas une mise à jour. Le CERT-FR conseille d’isoler les systèmes touchés jusqu’à la publication d’une correction. Les administrateurs doivent examiner les journaux depuis le 17 octobre. Des erreurs mémoire répétées, processus suspects ou modifications inattendues nécessitent une investigation.
Pour les utilisateurs de Binance, la priorité reste la prudence face aux interfaces compromises. Une alerte du fondateur ne signifie ni perte de fonds ni atteinte aux serveurs de Binance. Elle rappelle que la sécurité crypto dépend aussi des infrastructures web. PHP2Shell illustre cette dépendance.
FAQ : PHP2Shell, sécurité et protection des wallets crypto
PHP2Shell désigne deux failles critiques du moteur PHP. Changpeng Zhao, cofondateur de Binance, appelle à la prudence face aux sites vulnérables. Aucune compromission de Binance n’est établie.
Non, PHP2Shell cible d’abord les serveurs web. Un site compromis pourrait ensuite tromper un visiteur, notamment avec une fausse signature. Les clés privées ne sont pas directement exposées par cette faille.
Les administrateurs doivent installer PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12, ou un correctif fournisseur équivalent. Les utilisateurs doivent éviter les connexions et signatures suspectes.
Sources : PHP, avis officiel du 21 octobre, AWS Threat Intelligence, CERT-FR, Cloudflare et avertissement de Zhao. Situation au 22 octobre 2026.
Disclaimer : contenu informatif. Les administrateurs doivent consulter les avis de PHP et de leurs fournisseurs avant toute intervention.
