Blog · Analyse de sécurité

PHP2Shell a besoin d'une requête HTTP. OpenNHP ne la laisse jamais arriver.

Correctifs et WAF doivent connaître la CVE. Pas l’invisibilité.

NHP
The OpenNHP Team
22 octobre 2026 PHP2Shell Sécurité IA Zero Trust
PHP2Shell en un coup d’œil
9.2Score CVSS, RCE sans authentification
~70%des sites web utilisent PHP (Wiz)
10+ ansbug dans tout PHP depuis 5.4
63 joursde la découverte au correctif

Deux CVE (CVE-2026-109618, CVE-2026-109619) dans le moteur même de PHP permettent à un attaquant non authentifié d'exécuter du code ou de lire la mémoire du serveur, sans aucun bug applicatif. Wiz Research les a trouvées grâce à l'IA de pointe et a démontré des exploits fonctionnels sur WordPress, Drupal et Joomla.

L'attaque doit atteindre PHP. OpenNHP l'en empêche.
SANS OPENNHPAttaquantou scanner IArequête piégéeServeur PHPport 443 publicRCE sans auth.+ fuite mémoireAVEC OPENNHPAttaquantsans ID OpenNHPrequête piégéeOpenNHP ACeBPF/XDP, tout rejeté✕ REJETÉ✓ AUTORISÉServeur PHPaucun port ouvertClient autoriséOpenNHP Agentknock OpenNHP
Toute chaîne PHP2Shell commence par une requête non authentifiée. Derrière OpenNHP, cette requête est rejetée avant d'atteindre PHP.
La course au correctif
19 aoûtL'IA trouve le bug24 aoûtSignalé à PHP17 oct.Exploité en ligne21 oct.Correctif publiéVotre correctifjours ? semaines ?Serveur PHP public : exploitable jusqu'au correctif (bug de 10+ ans)Serveur PHP derrière OpenNHP : inaccessible aux requêtes non authentifiées, tout le temps
Les attaquants avaient l'exploit avant que le correctif n'existe. Les serveurs cachés n'ont pas à gagner cette course.
Correctif vs WAF vs OpenNHP
Corriger PHPRègles WAFOpenNHP
Fonctionne avant que la CVE soit connue✕✕✓
Nécessite une signature d'exploit—OuiNon
Bloque la RCE non authentifiée✓ une fois appliqué~ variantes connues✓
Bloque la fuite mémoire✓ une fois appliqué~ variantes connues✓
Cache le serveur aux scanners✕✕✓
Corrige le bug lui-même✓✕✕

Ils se complètent : OpenNHP supprime le chemin d'attaque non authentifié, le correctif supprime le bug. Corrigez quand même.

Des preuves, pas des promesses
1.2M+paquets d'attaque rejetés en silence par notre serveur protégé depuis le 16 oct. · en direct 0résultat sur les hôtes protégés au Hackathon IETF 126, y compris un attaquant IA
Où OpenNHP s'applique
✓ Cacher derrière OpenNHP
  • Panneaux d'administration (/wp-admin, admin Drupal)
  • Applications PHP internes et back-offices
  • API utilisées par des clients connus
  • Serveurs de préproduction et de gestion
Doit rester public
  • Sites pour visiteurs anonymes
  • Corrigez-les d'abord, utilisez le WAF
  • Cachez l'admin et l'accès à l'origine

Les utilisateurs autorisés peuvent toujours atteindre une application cachée : OpenNHP réduit ceux qui peuvent tenter un exploit de « tout Internet » à « les personnes que vous avez approuvées ».

Que faire maintenant
1
Corriger
PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou le paquet corrigé de votre distribution.
2
Inventorier
Listez les services PHP qui n'ont pas besoin d'être exposés à Internet.
3
Cacher
Placez-les derrière OpenNHP pour que le prochain PHP2Shell n'ait rien à atteindre.
Ne nous croyez pas sur parole. Essayez de le casser à l'IETF 127.
Nov. 14–15 2026
Hackathon IETF 127 · San Francisco
Hilton San Francisco Union Square · Gratuit · À distance bienvenu
Apportez vos outils d'attaque IA, vos astuces PHP2Shell et vos scanners. Le défi : atteindre un serveur derrière OpenNHP sans vous authentifier d'abord.
S'inscrire gratuitement → Détails du défi →
Ressources

Authentification avant connexion.

Le prochain PHP2Shell est déjà dans le pipeline IA de quelqu'un. Ne lui laissez rien à atteindre.

Besoin d’aide pour cacher vos services PHP ? Écrivez-nous à [email protected].

← Back to OpenNHP.org