Deux vulnérabilités critiques de PHP, CVE-2026-109618 et CVE-2026-109619 (PHP2Shell, CVSS 9,2), permettent dans certaines conditions une exécution de code à distance sans authentification, particulièrement avec Apache mod_php, mais aussi via des scénarios impliquant PHP-FPM. Des tentatives d’exploitation sont déjà observées. L’article détaille les mécanismes, les configurations exposées et les correctifs publiés le 21 octobre 2026 : PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Il suit leur disponibilité selon les distributions et recommande mise à jour rapide, redémarrage des services et vérification des versions effectivement chargées.