Deux vulnérabilités du moteur PHP peuvent permettre à un attaquant d’exécuter du code à distance sans s’authentifier. Les correctifs sont disponibles depuis le 21 octobre. Des attaques ont été observées pendant la divulgation des failles, et les administrateurs sont invités à vérifier puis mettre à jour leurs serveurs sans attendre.
PHP est présent dans une grande partie des sites Web, notamment ceux qui reposent sur WordPress, Drupal ou Joomla. Cette large diffusion donne une portée particulière à PHP2Shell, le nom donné à deux vulnérabilités critiques du langage, identifiées sous les références CVE-2026-109618 et CVE-2026-109619.
Selon les chercheurs de Wiz, l’exploitation de ces failles peut permettre l’exécution de code à distance sans authentification. Un pirate pourrait alors prendre le contrôle d’un serveur vulnérable ou accéder à des informations sensibles conservées dans la mémoire du processus PHP. Les vulnérabilités se trouvent dans le moteur PHP lui-même : le risque ne dépend donc pas nécessairement d’une faille propre à WordPress ou à un autre système de gestion de contenu.
Des failles anciennes découvertes avec l’aide de l’IA
Wiz indique que les vulnérabilités proviennent de problèmes présents dans le code de PHP depuis plus d’une décennie. Ses chercheurs ont utilisé plusieurs modèles d’intelligence artificielle pour analyser le code et contribuer à élaborer et vérifier des méthodes d’exploitation. Google confirme que Gemini 4 Argon a participé à la découverte, au développement de l’exploit, à la détection des attaques et à la validation du correctif.
Cette découverte illustre le double rôle que l’IA peut jouer en cybersécurité : elle aide les spécialistes à repérer des défauts difficiles à identifier, mais elle peut aussi réduire le temps et les compétences nécessaires pour transformer une faille en attaque exploitable.
Les correctifs PHP sont disponibles
Le projet PHP a publié des versions de sécurité qui corrigent les deux vulnérabilités : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. L’équipe PHP recommande aux utilisateurs de ces branches d’installer la mise à jour immédiatement et précise qu’aucune mesure de protection temporaire ne remplace complètement le correctif.
La NSA recommande aux organisations de dresser l’inventaire de leurs services accessibles depuis Internet qui utilisent PHP, puis de donner la priorité à l’application des correctifs. Les administrateurs doivent également surveiller les mises à jour publiées par leurs fournisseurs d’hébergement et de logiciels.
Le chiffre souvent cité de 70 % renvoie à la part des sites Web qui utiliseraient PHP, selon Wiz. Il ne signifie pas que 70 % des sites sont nécessairement vulnérables : le risque dépend notamment de la version de PHP exécutée par le serveur et de l’application concernée.
Des tentatives d’exploitation ont été observées
Cloudflare rapporte avoir observé du trafic d’attaque visant ses clients alors que les informations sur les vulnérabilités circulaient avant la publication officielle des correctifs. L’entreprise indique avoir déployé des règles de protection sur son pare-feu applicatif, tout en signalant que les attaquants modifiaient leurs requêtes pour tenter de contourner ces défenses. Ces protections peuvent réduire le risque, mais elles ne remplacent pas la mise à jour de PHP.
Les administrateurs devraient donc vérifier la version de PHP utilisée sur leurs serveurs et contacter leur hébergeur si cette information n’est pas facilement accessible. Pour les sites WordPress, mettre à jour le CMS ou ses extensions ne suffit pas à corriger une faille du moteur PHP : la version PHP installée par l’hébergeur doit elle aussi être corrigée.
Pour les internautes, aucune mise à jour particulière de leur téléphone ou de leur ordinateur n’est requise pour corriger PHP2Shell. La faille concerne les serveurs qui hébergent les sites. En revanche, un site compromis pourrait exposer les données qu’il détient ou être modifié à l’insu de son propriétaire. La priorité revient donc aux équipes techniques et aux fournisseurs d’hébergement : identifier les serveurs concernés et appliquer le correctif approprié dès que possible.
