GitLab · 22 octobre 2026 · Cyber & GRC
PHP2Shell : GitLab aide à identifier et corriger des failles critiques de PHP
GitLab signale deux failles critiques d’exécution de code à distance dans PHP, CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom PHP2Shell. GitLab.com, GitLab Self-Managed et GitLab Dedicated ne sont pas affectés. Les serveurs et conteneurs exécutant PHP pour servir des requêtes web doivent être mis à jour vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou vers un paquet corrigé de leur distribution.
Ce qui est annoncé
GitLab présente une démarche pour repérer les environnements concernés par PHP2Shell et organiser leur correction. Sous ce nom sont regroupées CVE-2026-109618 et CVE-2026-109619, deux vulnérabilités du moteur PHP permettant une exécution de code à distance sans authentification. Leur emplacement dans le moteur rend insuffisante une correction du code applicatif ou des dépendances Composer. Les versions correctives indiquées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec également des paquets corrigés proposés par certaines distributions. GitLab précise que GitLab.com, GitLab Self-Managed et GitLab Dedicated ne sont pas affectés.
Pour identifier les projets à examiner, l’éditeur combine analyse des conteneurs, GitLab Orbit et recherche dans le code. Ces approches ont des limites complémentaires : l’analyse des conteneurs détecte PHP installé sous forme de paquet, mais pas une compilation depuis les sources, tandis que GitLab Orbit ne sait pas encore analyser les Dockerfiles. GitLab Duo Agent Platform peut ensuite contribuer au suivi des corrections et à la préparation de merge requests. La validation humaine et la vérification du déploiement restent nécessaires.
Ce que ça change pour les entreprises
Pour les DSI et les équipes IT, la priorité est de rapprocher les informations des dépôts de l’inventaire des environnements réellement exécutés. Un résultat d’analyse sans alerte ne suffit pas à écarter l’exposition, notamment pour les images officielles php. La remédiation implique aussi de reconstruire et redéployer les images concernées, puis de redémarrer les processus PHP. Lorsque la distribution conserve un ancien numéro de version tout en intégrant le correctif, c’est la version du paquet qu’il faut contrôler.
La mise à jour ne remplace pas une recherche de compromission sur les serveurs exposés. GitLab souligne que l’absence d’erreurs ne permet pas d’exclure une exploitation. En présence d’indices suspects, l’isolement et l’investigation doivent tenir compte de la préservation des preuves avant les redémarrages. L’automatisation peut soutenir le traitement des projets, sans supprimer ces vérifications opérationnelles.
Comment UNEETY peut vous accompagner
Une ESN comme UNEETY peut accompagner le cadrage de l’inventaire, l’intégration des contrôles dans les pipelines et l’organisation des corrections. Cet appui peut également porter sur la sécurisation des déploiements et l’adoption de procédures de revue associant équipes sécurité, développement et exploitation.
Découvrez notre offre Cyber & GRC ou contactez-nous.
Source : annonce GitLab du 22 octobre 2026.