Failles PHP2Shell : Google rappelle la règle du 503 pour couper un site proprement

L'équipe sécurité de PHP a publié le 21 octobre des correctifs d'urgence pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, baptisées PHP2Shell. Elles permettent une exécution de code à distance sans authentification, avec un score CVSS de 9,2. Les versions corrigées : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Des sites publics européens, et Nintendo, ont préféré couper plutôt que d'attendre le patch. John Mueller, de Google, a publié le même jour la consigne SEO qui va avec : si vous coupez, renvoyez un 503.

Une corruption mémoire exploitable avant même votre code

Les deux failles partent du même défaut : quand une requête se termine anormalement, PHP laisse sa mémoire dans un état corrompu. La CVE-2026-109618 exploite une pénurie de mémoire pendant l'initialisation des données de requête. La CVE-2026-109619 s'appuie sur un état global périmé qu'une requête suivante peut relire sur le même worker (use-after-free). Dans les deux cas, un attaquant non authentifié peut exécuter du code avec les droits du worker web. Le pire scénario concerne mod_php : l'attaque se déclenche avant que votre code applicatif ne s'exécute.

Le calendrier n'a pas aidé. Un post sur Hacker News a éventé l'existence des failles le 20 octobre. watchTowr a confirmé qu'elles étaient réelles, et PHP a avancé la publication au 21 au matin au lieu de jeudi. Dane Knecht, CTO de Cloudflare, indique que des attaques émergent déjà, contenues pour l'instant par des règles WAF temporaires. watchTowr voit passer des tentatives d'exploitation assemblées avec des outils d'IA, aucune réussie à ce stade. Une des deux failles a d'ailleurs été trouvée par un modèle d'OpenAI, on détaille l'annonce et ce qu'elle omet ici.

Côté Google, John Mueller ressort une consigne déjà donnée lors de Log4j en décembre 2021.

Si vous prévoyez du temps pour des mises à jour non planifiées, pensez à utiliser le code HTTP 503, plutôt qu'un timeout, un 404 ou un 500. Idéalement, faites-le en dehors de PHP : pointez le DNS ailleurs ou utilisez un CDN.

La logique : un 503 dit aux robots que la coupure est temporaire, et Googlebot repassera sans toucher à l'index. Un timeout, un 404 ou un 500 peuvent être lus comme un problème durable, avec désindexation progressive à la clé. Le 503 se conçoit pour des heures ou des jours, pas des semaines. Et il doit être servi en amont de PHP, puisque c'est PHP lui-même qui est en cause.

Mon avis : notable pour tout le monde, critique si vous gérez vos propres serveurs. La moitié du parc PHP tourne sur des versions sans correctif officiel. Joviane Jardim (Detectify) estime qu'avec l'IA, un attaquant reconstruit un exploit en moins d'une heure à partir du diff du patch. La fenêtre de mise à jour se compte en jours.

WordPress, Drupal, Magento : vous êtes concernés

Si votre site tourne sur WordPress, Drupal, Joomla, Magento ou n'importe quel framework PHP, cette faille vous concerne, même si vous ne touchez jamais au serveur. Chez un hébergeur mutualisé sérieux, le correctif sera appliqué côté plateforme : vérifiez la version dans votre panneau d'administration plutôt que de le supposer. Sur un VPS ou un serveur dédié, c'est à vous de jouer. Les mitigations publiées (limiter post_max_size, désactiver session.upload_progress) ne bloquent pas tout : Gina Peter Banyard, développeuse du cœur de PHP, rappelle que seul le patch protège.

Pour le SEO, deux risques distincts. Un site coupé sans 503 propre peut perdre des positions le temps que Google recrawle et comprenne. Un site compromis risque pire : injection de contenu spam, pages de redirection et une action manuelle « site piraté » dans Search Console. Après le patch, surveillez le retour de Googlebot dans vos logs serveur et gardez un œil sur le rapport Problèmes de sécurité.

Sources

• PHP - Annonce de la version de sécurité (21 octobre 2026)
• Search Engine Roundtable - Google On Taking Sites Down When Fixing The Emergency PHP Exploit (21 octobre 2026)
• John Mueller sur Bluesky (21 octobre 2026)
• BleepingComputer - PHP ships emergency patches for critical PHP2Shell flaws (21 octobre 2026)
• Huntress - Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (21 octobre 2026)
• The Record - Hundreds of websites taken offline over PHP vulnerabilities (21 octobre 2026)