Chronologie

Chronologie de la divulgation de PHP2Shell

Deux ans entre le premier indice et le correctif — et une dernière journée pendant laquelle l’embargo a fuité à plusieurs endroits. Toutes les heures en UTC.

Dernière vérification 2026-10-22

  1. 2024

    Audit de PHP par Quarkslab, organisé par OSTIF. Le problème d’OOM est repéré pour la première fois en corrigeant un autre signalement.

    Source: PHP Foundation

  2. 2026-05

    La PHP Foundation crée son Ecosystem Security Team.

    Source: PHP Foundation

  3. 2026-07

    Alexandre Daubois rejoint la Foundation ; Calif lance son audit (30 juillet) dans le cadre de Patch the Planet.

    Source: PHP Foundation

  4. 2026-08-11

    Calif et OpenAI signalent indépendamment la même cause OOM.

    Source: PHP Foundation

  5. 2026-08-19

    Wiz Research trouve son premier bug PHP ; RCE sans authentification sur Drupal (20 août) et WordPress (21 août).

    Source: Wiz

  6. 2026-08-24

    Wiz signale des vecteurs d’attaque supplémentaires à l’équipe sécurité de PHP.

    Source: Wiz / PHP Foundation

  7. 2026-09-09

    Daniel Scherzer rejoint les travaux de sécurité de la Foundation.

    Source: PHP Foundation

  8. 2026-09-18

    OpenAI signale d’autres vecteurs.

    Source: PHP Foundation

  9. 2026-09-21

    PHP accuse réception des signalements de Wiz et lance un correctif coordonné.

    Source: Wiz

  10. 2026-10-20 15:00 UTC

    Les identifiants CVE circulent sur des forums et réseaux sociaux, avec un CVSS erroné de 10.0.

    Source: PHP Foundation

  11. 2026-10-20 19:30 UTC

    PHP publie sa pré-annonce plus tôt que prévu.

    Source: PHP Foundation

  12. 2026-10-20 ~20:00 UTC

    Calif publie par erreur une vidéo de sa preuve de concept.

    Source: PHP Foundation

  13. 2026-10-20 23:00 UTC

    Des conseils d’atténuation sont envoyés à certains opérateurs d’infrastructures critiques et ont peut-être fuité.

    Source: PHP Foundation

  14. 2026-10-21 03:02 UTC

    Les règles WAF de Cloudflare sont activées pour toutes les offres, y compris Free.

    Source: Cloudflare

  15. 2026-10-21 07:41 UTC

    Chainguard publie des images corrigées et rompt l’embargo avec plus de six heures d’avance.

    Source: PHP Foundation

  16. 2026-10-21 11:51 UTC

    BambooHR coupe son service par précaution (États-Unis, Canada, Irlande).

    Source: BambooHR status page

  17. 2026-10-21 (CEST)

    Des sites publics et éducatifs néerlandais, dont DigiD et MijnOverheid, sont coupés par précaution.

    Source: NOS

  18. 2026-10-21 14:00 UTC

    Publication coordonnée : PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35, plus des rétroportages source pour 7.4, 8.0, 8.1. Initialement prévue le 22 oct.

    Source: php.net / PHP Foundation

  19. 2026-10-21 15:03 UTC

    BambooHR indique que le correctif est appliqué et en cours de test.

    Source: BambooHR status page

Pourquoi la publication a été avancée d’un jour

La publication coordonnée était prévue le 22 octobre à 14:00 UTC. À partir de l’après-midi du 20 octobre, les identifiants CVE ont circulé publiquement (avec un score erroné de 10.0), une vidéo de preuve de concept a été publiée par erreur, et des conseils d’atténuation envoyés à des opérateurs d’infrastructures critiques ont peut-être fuité. Le matin du 21 octobre, Chainguard a publié des images corrigées avec plus de six heures d’avance. PHP a publié ce jour-là à 14:00 UTC.

La PHP Foundation indique que son équipe sécurité avait publié 15 CVE depuis le 1er juillet et traité plus de 100 signalements invalides, en double ou non reproductibles sur la même période.

Qui a fait quoi

Calif

Audit dans le cadre de « Patch the Planet » à partir du 30 juillet ; a signalé la cause OOM le 11 août, indépendamment d’OpenAI.

OpenAI Codex Security

A signalé la même cause le 11 août et d’autres vecteurs le 18 septembre.

Wiz Research

A trouvé d’autres chemins d’attaque à partir du 19 août, démontré une RCE pré-authentification sur Drupal, WordPress et Joomla, et signalé le tout le 24 août.

Équipe sécurité de PHP

A conçu le correctif (limites OOM souple/stricte au lieu de longjmp) et les versions 8.2–8.5, plus des rétroportages source pour 7.4–8.1.

PHP Foundation

Finance l’Ecosystem Security Team créée en mai 2026 ; a publié le retour d’expérience sur la divulgation.

Heure de publication dans votre fuseau

Fuseau horaireCorrectif publié
UTC14:00
États-Unis Pacifique (PDT, UTC−7)07:00
États-Unis Centre (CDT, UTC−5)09:00
États-Unis Est (EDT, UTC−4)10:00
Royaume-Uni (BST, UTC+1)15:00
Europe centrale (CEST, UTC+2)16:00
Inde (IST, UTC+5:30)19:30
Chine / HK / SG (UTC+8)22:00
Japon (JST, UTC+9)23:00
Sydney (AEDT, UTC+11)01:00

Voir aussi