Ubuntu corrige PHP2Shell et retire des certificats liés à eMudhra : les mises à jour à installer

Ubuntu distribue des mises à jour de sécurité pour PHP2Shell et pour les certificats liés à eMudhra. Les correctifs concernent deux risques différents : l’exécution de code sur des applications PHP et la confiance accordée à certaines connexions HTTPS. Les administrateurs de serveurs sont particulièrement concernés, mais la mise à jour des certificats intéresse aussi les postes de travail.

PHP2Shell : deux failles critiques à corriger

Les vulnérabilités CVE-2026-109618 et CVE-2026-109619, notées 9,2/10, peuvent permettre une exécution de code à distance sans authentification, avec les droits de l’application PHP. Elles touchent la gestion des requêtes : les situations de mémoire insuffisante pour la première, et l’état interne conservé lors de la réutilisation des processus pour la seconde.

Canonical a publié les versions corrigées suivantes pour les paquets officiels Ubuntu :

Comparez la version complète du paquet. Ubuntu peut intégrer un correctif dans sa branche existante sans reprendre le dernier numéro publié par PHP. Les installations provenant d’un dépôt tiers ou d’une image de conteneur doivent être vérifiées auprès de leur propre fournisseur.

eMudhra : Ubuntu retire une chaîne de confiance dangereuse

Des clés privées d’autorités de certification intermédiaires eMudhra ont été compromises. Elles peuvent servir à fabriquer des certificats frauduleux, avec un risque d’usurpation d’un service HTTPS et d’interception des communications.

Ubuntu met donc à jour ca-certificates. L’avis de sécurité indique notamment le retrait de emSign ECC Root CA - G3. Le correctif peut aussi entraîner le rejet de sites légitimes dont la chaîne de certification dépend des autorités retirées : leurs exploitants doivent corriger cette chaîne.

Les actions à prévoir

• Installez les mises à jour : Canonical recommande de mettre à niveau les paquets du système.
• Redémarrez les services PHP concernés : les processus déjà lancés doivent charger le code corrigé.
• Contrôlez les applications : vérifiez leur fonctionnement après intervention, notamment les connexions HTTPS.
• Mettez aussi à jour les navigateurs et les applications : certains utilisent leur propre magasin de certificats.

La commande générale recommandée est :

sudo apt update
sudo apt upgrade

Avec Apache et mod_php, Canonical demande le redémarrage d’Apache. Avec PHP-FPM, redémarrez le service FPM correspondant à la version réellement utilisée. Plusieurs versions de PHP peuvent cohabiter : la commande php -v du terminal ne suffit pas à vérifier tous les sites hébergés.

Sur Ubuntu Desktop, les navigateurs installés en Snap ne s’appuient généralement pas sur le magasin système. Si les mises à jour automatiques Snap ont été désactivées, il faut également les actualiser.

Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS et 26.10 reçoivent ces correctifs dans le support standard. Pour Ubuntu 20.04 LTS et les versions antérieures couvertes, Canonical passe par Ubuntu Pro et ESM.

Je vérifierais en priorité les serveurs PHP exposés à Internet, puis les conteneurs et les logiciels qui embarquent leurs propres certificats. Une machine à jour ne garantit pas que chaque environnement qu’elle héberge l’est aussi.