PHP2Shell : deux failles critiques dans PHP, et l’IA en toile de fond
Le 21 octobre 2026, l’équipe PHP a publié en urgence des correctifs pour deux failles critiques dans le moteur PHP, surnommées PHP2Shell. PHP fait tourner une très grande partie du web : on l’estime présent sur environ 70 % des sites, dont tous les sites WordPress, WooCommerce, Magento ou Drupal.
Les deux failles, CVE-2026-109618 et CVE-2026-109619, sont notées 9,2 sur 10. Elles permettent à un attaquant, sans compte ni mot de passe, d’exécuter du code sur un serveur avec une simple requête HTTP, avant même que le code du site ne s’exécute.
Une alerte mondiale
La réaction des autorités a été inhabituelle. La NSA, le FBI et la CISA aux États-Unis, le NCSC britannique et le CERT-EU ont tous appelé à mettre à jour immédiatement. Leur consigne : si vous ne pouvez pas corriger tout de suite, mettez le système hors ligne.
Certains n’ont pas attendu. La Finlande a temporairement coupé ses services web publics, et l’agence de cybersécurité néerlandaise a mis son propre site hors ligne en attendant le correctif.
Le risque est réel : les détails techniques sont devenus publics, des preuves de concept circulent, et des tentatives de scan ont été observées quelques minutes après la publication du correctif.
Des failles trouvées grâce à l’IA
Ce qui rend cette affaire particulière, c’est la façon dont les failles ont été découvertes. La société de sécurité Calif a trouvé la première en août, avec l’aide d’un modèle d’OpenAI, lors d’un audit du code de PHP financé par le programme Patch the Planet d’OpenAI. L’équipe Wiz (Google) les a trouvées de son côté quelques semaines plus tard, elle aussi avec des outils d’IA.
Personne ne s’attendait à trouver quelque chose de grave dans un langage aussi étudié depuis des années. Pourtant, selon OpenAI, le bug était présent dans PHP depuis 14 ans.
C’est une bonne nouvelle pour une fois : les défenseurs ont trouvé la faille avant les attaquants. Mais c’est aussi un avertissement. Si l’IA permet de trouver en quelques semaines des failles cachées depuis plus de dix ans, les attaquants peuvent faire la même chose. Et les modèles open source, accessibles à tous, rattrapent rapidement les modèles les plus puissants. Le délai entre la découverte d’une faille et son exploitation se réduit.
Que faire maintenant ?
Si vous gérez un site ou un serveur PHP
- Mettez à jour PHP immédiatement : 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Pensez à redémarrer PHP-FPM ou Apache.
- Sur un hébergement mutualisé, vérifiez auprès de votre hébergeur que la mise à jour est faite.
- Vous êtes sur PHP 8.1 ou plus ancien ? Il n’y aura pas de version officielle corrigée. Migrez vers une version supportée ou utilisez les correctifs de votre distribution.
- Pensez aussi aux produits qui embarquent PHP sans que vous le voyiez : panneaux d’administration, équipements réseau, logiciels métiers.
- Si vous ne pouvez pas mettre à jour : isolez le serveur d’Internet en attendant.
Pour les entreprises, au-delà de PHP
- Réduisez votre surface d’attaque : supprimez les vieux sites, sous-domaines et bases de données que plus personne n’utilise.
- Ne gérez pas les mots de passe vous-même si vous pouvez l’éviter : utilisez des services d’authentification reconnus (OAuth, SSO).
- Pour les opérations sensibles (gros virements, changements de RIB), ajoutez une vérification humaine par téléphone ou en personne.
- Préparez un plan de continuité : que faites-vous si vos systèmes sont coupés plusieurs jours ?
Pour les particuliers
- Fermez les comptes que vous n’utilisez plus : moins de comptes, moins d’endroits où vos données peuvent fuiter.
- Abandonnez la double authentification par SMS quand c’est possible. Préférez une application d’authentification ou une clé de sécurité physique.
- Convenez d’un mot de code avec vos proches pour vérifier qu’un appel ou un message urgent vient bien d’eux. Les arnaques par imitation de voix grâce à l’IA se multiplient.
Notre avis
PHP2Shell marque un tournant. Pour la première fois, une faille critique dans une brique aussi centrale du web a été trouvée principalement grâce à l’IA, et la réponse a été coordonnée à l’échelle mondiale. Mais la course est lancée : les mêmes outils sont à la portée des attaquants. Pour les entreprises marocaines et nord-africaines, dont beaucoup de sites tournent sur des versions anciennes de PHP, le message est simple : la mise à jour n’est plus une tâche de maintenance, c’est une mesure de sécurité urgente.
Commentaires