Une vulnérabilité critique dans PHP, le langage qui alimente une grande partie du Web, provoque une mobilisation internationale des équipes de cybersécurité. Baptisée PHP2Shell, cette faille pourrait permettre à des attaquants d’exécuter du code à distance sur des serveurs, d’accéder à des données sensibles ou de perturber des services en ligne.
Des millions de tentatives d’exploitation ont été signalées après la divulgation publique du problème.
L’affaire illustre également une évolution importante dans la cybersécurité : l’intelligence artificielle aide désormais les chercheurs à repérer et à exploiter des vulnérabilités complexes, parfois présentes depuis de nombreuses années. Pour les organisations qui utilisent PHP, la priorité est désormais d’installer les correctifs disponibles et de vérifier que leurs systèmes n’ont pas été compromis.
Comment l’IA a contribué à découvrir la faille PHP2Shell ?
PHP est un langage de programmation utilisé depuis plus de trente ans pour développer des sites et des applications web. Il se trouve notamment au cœur de plateformes comme WordPress et Drupal, ce qui donne à une vulnérabilité du moteur PHP une portée potentiellement très large.
Selon les informations publiées par les chercheurs et les entreprises de cybersécurité, plusieurs équipes ont participé à la découverte des vulnérabilités associées à PHP2Shell. Calif et Wiz ont notamment travaillé sur ces problèmes avec l’aide d’outils d’intelligence artificielle. La Fondation PHP indique également avoir utilisé des modèles avancés pour examiner son code, dans le cadre de travaux menés avec OpenAI et d’autres partenaires.
Le problème ne se limite pas à une erreur dans un site ou un plugin particulier. Les vulnérabilités concernent le moteur PHP lui-même, notamment la gestion de la mémoire et certains traitements internes lorsqu’une requête se termine anormalement. Deux failles critiques ont été identifiées sous les références CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9,2 sur l’échelle CVSS 4.0. Selon Cloudflare, elles peuvent notamment entraîner une exécution de code à distance, une exposition de données ou un déni de service.
L’intelligence artificielle n’a pas créé ces vulnérabilités : elle a contribué à accélérer leur identification et l’étude de scénarios d’exploitation. Cette capacité peut aider les équipes défensives à détecter des défauts difficiles à repérer manuellement, mais elle peut également réduire le temps nécessaire à des attaquants pour transformer une faiblesse logicielle en menace concrète.
Des millions de tentatives et des services temporairement coupés
La divulgation publique a été suivie d’une forte hausse des tentatives d’exploitation. Matthew Prince, directeur général de Cloudflare, a indiqué que leur volume était passé de dizaines de milliers en quelques dizaines de minutes à plusieurs millions au cours de la nuit, selon The Guardian. Ces chiffres décrivent des tentatives observées, et ne signifient pas que toutes ont abouti à une intrusion.
Les conséquences ne se limitent pas aux grandes entreprises disposant d’équipes de sécurité dédiées. Les collectivités, les associations et les établissements scolaires peuvent rencontrer davantage de difficultés pour identifier chaque installation de PHP, évaluer leur exposition et mettre à jour des systèmes parfois anciens. Certaines infrastructures obsolètes pourraient même nécessiter un remplacement plutôt qu’une simple mise à jour.
Les correctifs sont disponibles : quelles versions installer ?
L’équipe de PHP a publié des mises à jour de sécurité le 21 octobre 2026. Les versions correctives annoncées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les administrateurs doivent installer la version appropriée à leur branche, en privilégiant une version maintenue et compatible avec leur environnement.
La vulnérabilité concerne les installations PHP qui traitent des requêtes web, notamment celles utilisant PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le niveau de risque dépend de la configuration, mais les recommandations officielles appellent à appliquer les correctifs sans attendre. Lorsque la mise à jour immédiate est impossible, la mise hors ligne temporaire des systèmes exposés peut être nécessaire.
Les utilisateurs de WordPress doivent notamment vérifier la version de PHP utilisée par leur hébergement : mettre à jour WordPress et ses extensions ne remplace pas la mise à jour du moteur PHP. Il est également prudent de contrôler les journaux serveur, les comptes privilégiés et les signes d’activité inhabituelle. Une mise à jour ne suffit pas à exclure une compromission si le système a déjà été ciblé.
Une nouvelle vulnérabilité signalée après les premiers correctifs
La situation demande une vigilance supplémentaire. Le 23 octobre, Cloudflare a signalé une vulnérabilité associée, référencée CVE-2026-115560, liée à la fonctionnalité de suivi de progression des téléversements de sessions PHP. Selon l’entreprise, ce problème touche également certaines versions déjà corrigées et doit faire l’objet d’un correctif dans une prochaine version régulière de PHP.
Les organisations ne doivent donc pas considérer l’installation des premières mises à jour comme une raison d’arrêter leur surveillance. Il est nécessaire de suivre les avis de sécurité officiels, de vérifier les mesures de protection disponibles et d’évaluer les configurations particulières, notamment lorsque le nom du champ de suivi des téléversements a été personnalisé.
PHP2Shell rappelle qu’une vulnérabilité située dans une couche logicielle largement partagée peut avoir des répercussions bien au-delà d’un seul produit. L’IA accélère la découverte de ces défauts, mais la réduction du risque dépend toujours de la rapidité avec laquelle les éditeurs, hébergeurs et administrateurs déploient les correctifs et vérifient leurs systèmes.
