Qu'est-ce que l'exécution de code à distance ? La faille RCE en mots simples

WindowsMacMis à jour

L'exécution de code à distance, souvent abrégée RCE (de l'anglais remote code execution), désigne une faille qui pourrait permettre à un attaquant de faire tourner son propre code sur un système qu'il atteint par le réseau. Le CyberDico de l'ANSSI la traduit par « exécution de code arbitraire » et la définit comme la mise en œuvre de commandes à distance sur un ordinateur, à l'insu de son utilisateur légitime. Ce guide est à jour au 23 octobre 2026.

Réponse rapide

L'exécution de code à distance (RCE) signifie qu'une faille pourrait permettre à quelqu'un de lancer son propre code ou ses propres commandes sur un ordinateur, depuis le réseau. Le CERT-FR classe le risque des failles PHP2Shell comme une « exécution de code arbitraire à distance ». La correction revient au propriétaire du serveur, qui doit mettre à jour le logiciel touché.

Que veut dire exécution de code à distance ?

Les définitions les plus claires viennent des avis eux-mêmes. L'avis du projet PHP du 21 octobre 2026 parle de deux failles critiques qui peuvent permettre une exécution de code à distance sans authentification. Le CERT-FR écrit que, selon PHP, ces failles permettent à un attaquant de provoquer une exécution de code arbitraire à distance. L'AlerteCyber de Cybermalveillance.gouv.fr en décrit la conséquence pratique : la prise de contrôle à distance des équipements vulnérables.

Deux mots comptent : « à distance » et « sans authentification ». Le FIRST, l'organisme qui publie le système de notation CVSS, explique qu'une faille attaquable par le réseau est souvent dite exploitable à distance, et que les attaquants possibles peuvent aller jusqu'à Internet tout entier. Dans le même document, un attaquant qui n'a besoin d'aucun compte ni d'aucune connexion est dit non authentifié avant l'attaque.

La RCE décrit donc ce qu'une faille pourrait permettre, pas quelque chose qui s'est déjà produit.

Pourquoi une faille RCE est-elle jugée si grave ?

À cause de ce que l'attaquant pourrait faire une fois son code lancé. Le CVSS, présenté dans notre guide CVE et score CVSS, appelle cela l'impact. Les notes du projet PHP pour les deux failles PHP2Shell marquent un impact élevé sur la confidentialité, l'intégrité et la disponibilité. Le FIRST illustre un impact élevé sur l'intégrité par un attaquant capable de modifier tous les fichiers protégés par le système vulnérable, et un impact élevé sur la confidentialité par le vol du mot de passe de l'administrateur ou des clés de chiffrement privées d'un serveur web.

Les mêmes notes enregistrent aussi ce qui rend l'attaque plus difficile. Les deux failles PHP2Shell sont marquées avec une complexité d'attaque élevée et des conditions d'attaque présentes. Le FIRST définit la première comme une attaque qui doit contourner des protections déjà en place. La seconde signifie que l'attaque dépend de conditions précises dans la configuration et le fonctionnement du système, et le FIRST note qu'il peut falloir la lancer plusieurs fois contre une même cible avant qu'elle réussisse.

Tout compte fait, le projet PHP note les deux failles 9,2 sur 10, ce qui les place dans la catégorie critique.

Que change une faille RCE si j'ai un site web ?

Elle rend la mise à jour urgente si votre site tourne sur une version touchée de PHP. L'avis PHP juge le risque le plus élevé avec Apache et mod_php, pour lequel il existe un exploit démontré : une requête sans authentification peut déclencher l'attaque avant même l'exécution du code de l'application. Autrement dit, avec mod_php, l'attaque peut fonctionner avant que WordPress ou tout autre logiciel du site ait tourné. Les versions qui corrigent la faille, et la marche à suivre, sont dans notre guide sur la faille PHP.

Commencez par vérifier la version de PHP de votre site. Si votre hébergeur gère PHP pour vous, mon hébergeur dit que PHP est corrigé explique ce qui reste de votre côté.

Que change une faille RCE si je ne fais que visiter des sites ?

Une faille RCE dans PHP est une faille du serveur. La liste des installations à risque de l'avis PHP nomme des logiciels de serveur, comme PHP-FPM et Apache avec mod_php, et ne parle ni des navigateurs ni des appareils des visiteurs. Au 23 octobre 2026, la CISA, l'agence américaine de cybersécurité, indique, dans son alerte du 21 octobre révisée le 23 octobre, ne pas avoir observé d'exploitation réussie de ces vulnérabilités en conditions réelles au moment de la publication. Deux questions voisines ont leur propre guide : visiter un site piraté, est-ce dangereux ? et données personnelles piratées, que faire ?

Comment PHP2Shell mène-t-il à une exécution de code à distance ?

L'avis PHP nomme les deux failles d'après la façon dont elles y mènent. La première, CVE-2026-109618, est une « RCE via OOM corruption » : la gestion d'un manque de mémoire peut interrompre PHP alors que des données internes de la requête ne sont que partiellement initialisées. La seconde, CVE-2026-109619, est une « RCE via stale global state » : un état interne propre à la requête peut survivre après la libération de la mémoire qui le contient. Les fiches CVE officielles ajoutent que PHP peut alors lire ou utiliser une mémoire de requête non initialisée, dans le premier cas, ou déjà libérée, dans le second. Notre guide sur la faille PHP couvre les versions, les personnes concernées et les mesures à prendre.

Autres questions

Que signifie RCE ?

Remote code execution, soit exécution de code à distance. Le projet PHP emploie l'abréviation dans le nom des deux failles PHP2Shell, et les fiches CVE officielles indiquent que les deux failles peuvent mener à une exécution de code à distance (RCE).

Une faille RCE, est-ce la même chose qu'un piratage ?

Non. La RCE décrit ce qu'une faille pourrait permettre. Être piraté, c'est que quelqu'un s'est réellement servi d'une faille contre un système. L'ANSSI distingue d'ailleurs une vulnérabilité « exploitée activement », dont l'exploitation a été observée dans des cyberattaques. Pour PHP2Shell, aucun avis officiel ne donne de nombre de sites compromis. Si vous avez un site et que quelque chose vous semble anormal, lisez site piraté, que faire ?

Que veut dire « sans authentification » dans un avis ?

Que l'attaquant n'a pas besoin d'être connecté, ni d'avoir un compte ou un mot de passe sur le système. La spécification CVSS du FIRST précise qu'un tel attaquant n'a besoin d'aucun accès aux réglages ou aux fichiers avant l'attaque.

Toutes les failles RCE sont-elles critiques ?

Non. La note dépend de la facilité de l'attaque et de ce qu'elle exige, en plus de l'impact, et les évaluateurs peuvent diverger : la base nationale des vulnérabilités américaine, la NVD, a classé CVE-2026-109619 en gravité élevée, pas critique. Notre guide CVE et score CVSS compare les notes.

La RCE est-elle un type de vulnérabilité ?

C'est une conséquence possible d'une vulnérabilité. Le CyberDico de l'ANSSI définit une vulnérabilité comme une faille de sécurité qui peut servir de porte d'entrée à des acteurs malveillants s'ils parviennent à l'exploiter, et la RCE décrit ce que cette porte d'entrée permet. Notre guide qu'est-ce qu'une vulnérabilité ? explique le terme plus large.

Sources