CVSS

CVSS de PHP2Shell : 9.2, pas 10.0

Les deux CVE de PHP2Shell sont officiellement notées CVSS 4.0 9.2 — Critique. Le 10.0 que vous avez peut-être vu provient de la fuite de la veille de la publication.

Dernière vérification 2026-10-22

ScoreOrigineStatut
9.2Avis de sécurité PHP GHSA-w8hw-w9fx-j79w et GHSA-6wmf-4rv5-p3rp (CVSS 4.0), repris par la PHP Foundation, watchTowr et la plupart des éditeurs.Officiel
10.0Identifiants CVE en circulation sur des forums et réseaux sociaux à partir d’environ 15:00 UTC le 20 oct., avant la publication des avis. Repris dans les premiers articles.Erroné

Le vecteur, métrique par métrique

Les deux CVE : CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

MétriqueSignification iciEffet

AV:N

Attack Vector: Network

Joignable par Internet avec des requêtes HTTP ordinaires.Augmente le score

AC:H

Attack Complexity: High

L’exploit doit être ajusté à la disposition mémoire de chaque cible ; ce n’est pas une requête à copier-coller.Baisse le score

AT:P

Attack Requirements: Present

La réussite dépend de conditions de déploiement (SAPI, limites, réutilisation des workers) que l’attaquant ne contrôle pas.Baisse le score

PR:N

Privileges Required: None

Pas de compte, pas de connexion.Augmente le score

UI:N

User Interaction: None

Personne n’a besoin de cliquer.Augmente le score

VC:H / VI:H / VA:H

Impact sur le système vulnérable : High

Perte totale de confidentialité, d’intégrité et de disponibilité sur le serveur PHP.Augmente le score

SC:N / SI:N / SA:N

Impact sur les systèmes suivants : None

Le score ne compte pas le rebond vers d’autres systèmes — en pratique, des identifiants volés le permettent souvent.Baisse le score

Pourquoi ce n’est pas un 10

Deux métriques font baisser le score : AC:H (l’exploit doit être adapté à la disposition mémoire de chaque cible au fil de tentatives répétées) et AT:P (la réussite dépend du déploiement de PHP — SAPI, limites mémoire, réutilisation des workers).

Tout ce qui compte le plus pour un attaquant est au pire niveau : joignable par le réseau, sans privilèges, sans interaction utilisateur, impact total sur le serveur.

Ce que cela signifie en pratique

« Plus difficile à exploiter » n’est qu’un ralentisseur pour des attaquants compétents, et l’embargo a fuité un jour trop tôt. Traitez-la comme un 10 : corrigez d’abord, discutez du score ensuite.

Questions

Quel est le score CVSS officiel de PHP2Shell ?+

9.2 (Critique) en CVSS 4.0, pour CVE-2026-109618 comme pour CVE-2026-109619, tel que publié dans les avis de sécurité de PHP.

Pourquoi certains sites ont-ils annoncé CVSS 10.0 ?+

Les identifiants CVE ont fuité le 20 octobre 2026, environ un jour avant la publication coordonnée, accompagnés d’un score erroné de 10.0. Les articles rédigés à partir de la fuite l’ont repris. La PHP Foundation a ensuite confirmé que 10.0 était faux.

9.2 au lieu de 10.0, est-ce moins urgent ?+

Non. L’écart tient au fait que l’exploit doit être adapté à chaque cible (complexité élevée, prérequis d’attaque présents). Cela reste une exécution de code à distance sans authentification via le réseau, avec de premières attaques signalées. Corrigez en priorité absolue.

Voir aussi