Votre box ou votre pare-feu tourne-t-il sous PHP ? Ce que PHP2Shell change

WindowsMacMis à jour

Netgate, l'éditeur de pfSense, et l'équipe d'OPNsense ont publié des mises à jour de PHP pour leurs logiciels de pare-feu le 21 octobre 2026, le jour où le projet PHP a annoncé les failles PHP2Shell. Qu'une box internet ou un routeur ordinaire soit touché dépend de la présence de PHP dans son logiciel, et seul son fabricant ou votre opérateur peut vous le dire. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

PHP2Shell touche les installations de PHP qui répondent à des requêtes web, et certains équipements réseau utilisent PHP pour leur page d'administration. pfSense et OPNsense ont publié des correctifs. Pour une autre box ou un autre routeur, cherchez une mise à jour chez le fabricant ou l'opérateur, désactivez l'administration à distance et installez les mises à jour dès qu'elles sont disponibles.

PHP2Shell touche-t-il ma box ou mon routeur ?

Seulement s'il fait tourner PHP, et la plupart des propriétaires n'ont aucun moyen de le voir de l'extérieur. L'avis du projet PHP indique que les deux failles, CVE-2026-109618 et CVE-2026-109619, exposent toutes les installations de PHP qui répondent à des requêtes web, et qu'elles peuvent permettre une exécution de code à distance sans authentification. Autrement dit, quelqu'un pourrait faire exécuter ses propres commandes à l'appareil sans se connecter.

L'AlerteCyber de Cybermalveillance.gouv.fr demande de mettre à jour « les équipements et logiciels concernés », et cite parmi les risques la prise de contrôle à distance des équipements vulnérables. Le Centre canadien pour la cybersécurité demande de repérer les produits, appareils et conteneurs qui intègrent des composants PHP vulnérables, et l'agence américaine CISA écrit que PHP est souvent un composant d'autres logiciels et que sa présence n'est pas toujours directement visible. Un appareil peut donc contenir PHP sans l'indiquer sur la boîte.

Nous ne citons ici aucune marque de box ou de routeur grand public : nous ne nommons un fabricant que lorsque son propre avis dit que ses produits sont touchés ou corrigés. Les deux qui l'ont fait sont ci-dessous.

Que dit Netgate pour pfSense ?

L'article de Netgate du 21 octobre 2026 indique que les deux failles touchent les installations de pfSense. Il précise qu'elles ne posent problème que si l'interface web d'administration de pfSense, écrite en PHP, ou le service Captive Portal est exposé à des attaquants potentiels.

Par défaut, selon Netgate, la page d'administration n'est accessible que depuis le réseau local, pas depuis internet, et Captive Portal n'est pas activé. Voici les versions mises à jour qu'il liste :

  1. pfSense Plus 26.07 et 26.03.1, et pfSense CE 2.9.0, désormais avec PHP 8.5.12.
  2. pfSense CE 2.8.1, désormais avec PHP 8.3.36.

La mise à jour ne peut pas se faire depuis la page d'administration web. Netgate indique qu'elle doit être lancée en ligne de commande, par SSH ou par la console, et son article donne les commandes exactes. Ceux qui ont exposé la page d'administration sur internet doivent mettre à jour immédiatement, revoir leurs règles et, ensuite, n'y accéder que par un moyen sécurisé comme un VPN. Les utilisateurs de Captive Portal doivent mettre à jour dès que possible. Les autres, selon Netgate, ne sont pas touchés mais devraient quand même mettre à jour quand cela leur convient.

Que dit OPNsense ?

L'annonce d'OPNsense du 21 octobre 2026 liste des correctifs avec PHP mis à jour : Community Edition 26.7.7 avec PHP 8.5.12, Community Edition 26.1.11 avec PHP 8.3.36, et une mise à jour pour la Business Edition. Les notes de version 26.7 d'OPNsense listent ce correctif hors cycle pour CVE-2026-109618 et CVE-2026-109619, PHP 8.5.12, sous la version 26.7.7.

L'annonce recommande vivement d'installer la mise à jour dès que possible. Si vous utilisez le portail captif, elle demande de redémarrer ce service après l'installation, pour que les corrections prennent effet.

Que disent les autorités sur les appareils qui intègrent PHP ?

Le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, recommande pour les versions non maintenues d'isoler les équipements concernés puis de migrer. Le NCSC britannique demande de suivre les mises à jour de sécurité des éditeurs tiers, y compris pour les appareils et services qui peuvent intégrer PHP. La CISA demande de recenser tous les systèmes qui font tourner PHP, de corriger en commençant par ceux exposés sur internet, et de mettre hors ligne ceux qui ne peuvent pas être mis à jour tout de suite.

Pour un réseau domestique, la traduction concrète est la page d'assistance du fabricant ou de votre opérateur. Sur l'exploitation, au 23 octobre 2026 : la CISA indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication, le CERT-FR a connaissance de preuves de concept pour des déploiements spécifiques de PHP, et l'avis de QNAP indique que des tentatives d'exploitation contre PHP ont été signalées publiquement.

Que faire avec ma box ou mon routeur ?

Les conseils de Cybermalveillance.gouv.fr pour sécuriser son réseau Wi-Fi couvrent l'essentiel. Ils précisent qu'il faut pour cela accéder à l'interface de gestion de votre box ou de votre routeur, et renvoient à sa documentation, à l'aide en ligne de votre opérateur ou à un spécialiste.

  1. Repérez la marque et le modèle de votre box ou de votre routeur, puis ouvrez la page d'assistance du fabricant ou de l'opérateur pour ce modèle.
  2. Cherchez un avis de sécurité ou une mise à jour. Cybermalveillance.gouv.fr indique que les box des principaux opérateurs en France bénéficient de mises à jour automatiques, mais que d'autres équipements du réseau domestique, comme un routeur, un répéteur Wi-Fi ou un adaptateur CPL, peuvent être touchés par des failles : faites leurs mises à jour dès qu'elles sont disponibles.
  3. Désactivez l'administration à distance si vous n'en avez pas besoin. Cybermalveillance.gouv.fr explique qu'elle expose l'interface de gestion de votre box ou de votre routeur sur internet, et que si vous la gardez, il faut un mot de passe fort et unique.
  4. Changez le mot de passe par défaut de l'interface de gestion. Cybermalveillance.gouv.fr demande un mot de passe long, complexe et unique, différent de celui du Wi-Fi.
  5. Désactivez l'UPnP si vous n'en avez pas besoin. Notre guide pour désactiver l'UPnP et la redirection de ports explique pourquoi.

Si vous avez aussi un NAS, Synology et QNAP ont publié leurs propres avis. Notre guide faille PHP sur NAS Synology et QNAP résume ce que dit chacun.

Autres questions

Existe-t-il une liste des produits touchés par PHP2Shell ?

Le NCSC britannique renvoie à une liste de produits logiciels dépendant de PHP et potentiellement touchés, tenue sur GitHub par le NCSC-NL, le centre national de cybersécurité des Pays-Bas. Le dépôt indique qu'il est mis à jour au fil de la situation : c'est un point de départ. L'avis du fabricant de votre appareil reste celui qui fait foi pour votre modèle.

Puis-je mettre à jour PHP moi-même sur ma box ?

Sur la plupart des box et routeurs grand public, non. Si l'appareil contient PHP, il est fourni dans le logiciel du fabricant, et la correction arrive donc par une mise à jour de ce logiciel. pfSense et OPNsense sont différents : leurs propriétaires installent eux-mêmes le PHP mis à jour, en suivant l'avis de chaque projet.

La page d'administration de mon routeur n'est accessible que chez moi. Suis-je protégé ?

Netgate indique que les utilisateurs de pfSense qui gardent la page d'administration hors des réseaux non fiables et n'utilisent pas Captive Portal ne sont pas touchés, mais qu'ils devraient quand même mettre à jour. QNAP prévient que limiter l'accès au réseau local ne protège pas contre un appareil de ce réseau déjà compromis. La mise à jour reste la correction.

Existe-t-il une parade en attendant une mise à jour ?

Le projet PHP indique que seule la mise à jour est une solution complète, et que ses réglages temporaires réduisent l'exposition sans rendre une installation sûre. Le CERT-FR présente lui aussi ses mesures comme un contournement provisoire. Ces réglages concernent ceux qui gèrent PHP eux-mêmes. Pour une box ou un routeur, ce que vous maîtrisez, c'est de garder l'administration hors d'internet et d'installer la mise à jour du fabricant.

Qu'est-ce que PHP2Shell ?

Le nom de deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 selon le système CVSS version 4.0, annoncées le 21 octobre 2026. Notre guide faille PHP PHP2Shell donne les versions corrigées.

Sources