Menu

PHP2Shell, Node2Shell, Python2Shell, React2Shell : quand le runtime lui-même devient le point d’entrée

Catégories

Tags

🔍 Licence d'Utilisation 🔍

Sauf mention contraire, le contenu de ce blog est sous licence CC BY-NC-ND 4.0.

© 2025 à 2042 Sébastien Gioria. Tous droits réservés.

⏱️
Temps de lecture estimé
2 min de lecture
⏱️
Temps de lecture estimé
~3 minutes

En douze mois, la communauté a baptisé quatre RCE pré-authentification du même suffixe : React2Shell, PHP2Shell, Node2Shell, Python2Shell. Quatre noms de marque pour une même mauvaise nouvelle : aucune de ces failles n’est dans votre code. Elles sont dans ce qui l’exécute, et votre scanner de dépendances ne les voit pas toujours.

Le 20 octobre, l’embargo sur deux failles du cœur de PHP a fuité. Le lendemain, les honeypots de watchTowr voyaient déjà passer des tentatives d’exploitation. Le même jour, Node.js publiait un correctif pour un décodeur Brotli, et en 48 heures le bug avait un deuxième nom (Node2Shell), puis un troisième (Python2Shell), puis une étiquette parapluie (HTTP2Shell). Quelques mois plus tôt, en décembre 2025, React2Shell avait ouvert le bal.

Ce que disent les sources

  • PHP2Shell (CVE-2026-109618 et CVE-2026-109619) : deux failles du cœur de PHP, notées 9,2 en CVSS v4.0, exploitées dès le 21 octobre. Aucune configuration ne les ferme, seul le correctif et le redémarrage des workers comptent.
  • Node2Shell et Python2Shell (CVE-2026-111497) : un seul décodeur Brotli, embarqué dans Node.js et dans les paquets PyPI Brotli et brotlicffi. Exécution de code démontrée en laboratoire, pas d’exploitation confirmée à la date du 24 octobre.
  • React2Shell (CVE-2025-55182) : la désérialisation du protocole Flight des React Server Components, exploitée massivement depuis décembre 2025.

La presse met tout dans le même sac. Deux de ces failles sont des incidents, deux sont encore des risques démontrés en labo, et le plan de réponse n’est pas le même.

Au Menu de la version abonnés

Au Menu de la version abonnés Substack, vous retrouvez la suite :

  • le tableau comparatif des quatre failles : où est le bug, déclencheur, CVE et état d’exploitation ;
  • le détail de PHP2Shell, avec les trois points qui changent la réaction et le calendrier fuite, correctifs, exploitation ;
  • le côté Node.js et le côté Python, dont le chemin sortant qu’un WAF ne voit pas, et les copies de Brotli encore à corriger ;
  • l’analyse STRIDE et le tableau d’impact détaillés ;
  • le plan en quatre niveaux, de l’incident PHP2Shell à l’inventaire des runtimes embarqués ;
  • les six points à retenir.
📬 Analyse complète réservée aux abonnés Substack
Le détail de chaque faille, le STRIDE et le plan de réponse partent d'abord aux abonnés Substack, avant d'être publiés intégralement ici.

📚 Quelques références pour aller plus loin

LinkedIn Reddit Substack