Failles critiques de PHP (PHP2Shell) : comment BTB Labs a sécurisé TEIF Manager en moins de 24 heures

Le 21 octobre 2026, le projet PHP a publié des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, qui permettent d'exécuter du code à distance sur un serveur non mis à jour. L'équipe BTB Labs a corrigé tous les serveurs de TEIF Manager en moins de 24 heures, puis audité leurs journaux : aucune trace d'exploitation.

Que s'est-il passé ?

PHP est l'un des langages les plus utilisés au monde pour faire fonctionner des sites et des services en ligne. Le 20 octobre, son équipe de sécurité a annoncé une mise à jour critique. Le lendemain, elle a publié les versions corrigées (8.2.35, 8.3.36, 8.4.27 et 8.5.12) et les deux fiches CVE, déjà surnommées « PHP2Shell ».

Les deux failles sont notées 9,2 sur 10 (critique). Elles peuvent permettre à un attaquant, sans identifiant, d'exécuter ses propres commandes sur un serveur :

• CVE-2026-109618 : quand PHP manque de mémoire, des données internes à moitié préparées peuvent être réutilisées comme si elles étaient valides.
• CVE-2026-109619 : des informations liées à une requête peuvent survivre après elle et être reprises par la requête suivante.

Selon l'avis de sécurité officiel de PHP, toutes les installations qui servent des pages ou des services web sont concernées, et seule la mise à jour protège réellement.

Pourquoi nos services étaient-ils concernés ?

Le logiciel TEIF Manager installé dans votre entreprise n'utilise pas PHP. Mais, comme une grande partie des services en ligne dans le monde, certaines des API de BTB Labs s'appuient sur cette technologie. Ces API servent nos produits : TEIF Manager, ERP Copilot et zkBDI (Zero-Knowledge Blockchain / Business Data Interchange). Nos serveurs, répartis entre un site principal et un site de secours, devaient donc être corrigés.

Comment avons-nous réagi ?

Notre méthode tient en quatre étapes :

1. Qualifier : évaluer quels services étaient exposés.
2. Corriger : installer la version officielle corrigée de PHP et vérifier qu'elle est bien celle qui tourne. Dans la foulée, nous avons appliqué les autres correctifs de sécurité en attente, ce qui a nécessité une courte interruption de l'API (voir plus bas).
3. Auditer : rechercher dans les journaux toute trace d'une tentative d'exploitation (voir ci-dessous).
4. Vérifier et surveiller : contrôler que l'API répond normalement, puis renforcer notre surveillance automatique, qui alerte désormais notre équipe dès qu'un correctif de sécurité est publié.

Qu'a révélé l'audit ?

Corriger ne suffit pas : il faut aussi s'assurer que personne n'a profité de la fenêtre d'exposition. Nous avons donc analysé les journaux des deux sites sur toute la période concernée, en cherchant les signes décrits par les chercheurs en sécurité, notamment :

• des requêtes anormales envoyées à nos services ;
• des comportements inhabituels de nos serveurs ;
• des modifications inattendues de fichiers ou de configuration.

Résultat : aucune trace d'exploitation sur aucun des deux sites. Les journaux ne montrent que le bruit de fond habituel d'internet : des robots qui sondent les sites au hasard, tous rejetés par nos serveurs. En toute transparence, une analyse de journaux ne peut pas prouver l'absence absolue d'une tentative isolée. Mais toutes les traces qu'une intrusion réussie aurait laissées sont absentes.

Et vos factures, vos données ?

En dehors de cette coupure, vos factures ont continué d'être traitées normalement, et nous n'avons relevé aucun indice d'accès non autorisé à vos données. Vous n'avez rien à faire : pas de mise à jour de TEIF Manager à installer, pas de mot de passe à changer. La signature électronique de vos factures se fait chez vous, avec votre certificat TunTrust : elle n'est pas concernée par ces failles.

Nos excuses pour la coupure du 22 octobre. Pour appliquer sans attendre l'ensemble des correctifs de sécurité sur nos serveurs, nous avons dû interrompre l'API pendant une dizaine de minutes, le 22 octobre de 12 h 32 à 12 h 41. Face à des failles notées 9,2 sur 10, exploitables sans identifiant, chaque heure d'attente laissait la porte ouverte : nous avons choisi d'agir immédiatement, sans attendre une fenêtre de maintenance planifiée ni l'envoi préalable d'une annonce par mail. Nous vous présentons nos excuses pour la gêne occasionnée. Aucune facture n'a été perdue pendant cette interruption.

Ce que nous retenons

Une faille critique se joue en heures, pas en semaines. Ce qui a fait la différence : une veille active, un site de secours déjà en place, des journaux conservés et lisibles, et désormais une alerte automatique dès qu'un correctif de sécurité est publié. C'est cette discipline que nous décrivons sur notre page sécurité et conformité.

Questions fréquentes

Dois-je mettre à jour TEIF Manager ?

Non. Le logiciel installé chez vous n'utilise pas PHP. Seuls nos serveurs étaient concernés, et ils sont corrigés.

Mes factures ont-elles été exposées ?

Nous n'avons relevé aucune trace d'exploitation ni d'accès non autorisé sur nos deux sites. En dehors de la coupure d'une dizaine de minutes du 22 octobre, le traitement de vos factures n'a pas été interrompu.

Mon certificat de signature TunTrust est-il concerné ?

Non. La signature se fait sur votre poste, avec votre certificat. Ces failles touchent des serveurs web qui utilisent PHP, pas votre signature.

Mon entreprise utilise PHP : que faire ?

Mettez à jour vers PHP 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 selon votre branche, ou demandez à votre hébergeur s'il l'a fait. Les versions 8.1 et antérieures ne reçoivent plus de correctifs officiels. Les détails sont dans l'avis de sécurité PHP.