PHP2Shell expose la fragilité du web face aux failles dopées à l’IA

PHP a publié le 21 octobre des correctifs pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619, qui touchent le moteur utilisé par environ 70 % des sites web selon la source citée. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 sont concernées par la mise à jour, tandis que des rapports décrivent déjà des tentatives d’exploitation et des tensions sur la divulgation coordonnée. L’enjeu dépasse largement PHP : si des modèles d’IA trouvent plus vite les failles, la fenêtre pour réagir se rétrécit, parfois de façon brutale.

Quand la découverte accélère plus vite que la parade

Les deux vulnérabilités, surnommées PHP2Shell, permettent une exécution de code à distance sans authentification, avec une note CVSS v4.0 de 9,2 chacune. Wiz a indiqué avoir démontré une exécution de code non authentifiée sur WordPress, Drupal et Joomla, tandis qu’OpenAI a expliqué que la sécurité Calif avait trouvé l’une des failles via GPT-5.6 Sol dans le cadre de son programme Patch the Planet. Selon Wiz, la chaîne d’exploitation se situait “at the edge of what human researchers could practically achieve”, et les modèles de pointe ont “substantially reduced that barrier”.

Cette bascule compte parce que la faille ne se trouve pas dans une application isolée, mais dans le runtime PHP lui-même. En clair, patcher le site ne suffit pas si le moteur sous-jacent reste vulnérable. Pour les équipes d’exploitation, le message est rude mais net : il faut mettre à jour PHP, puis redémarrer tous les workers, sinon la correction reste incomplète.

Une divulgation coordonnée qui a mal tenu

La publication commune devait intervenir le 22 octobre, mais le calendrier a glissé. TechTarget a rapporté que les identifiants CVE circulaient déjà sur des forums dès le 20 octobre, ce qui a poussé PHP à avancer la sortie d’un jour. Chainguard a ensuite publié des images corrigées plus tôt que prévu, une décision critiquée par la PHP Foundation et défendue par son PDG, qui a invoqué des signalements d’exploitation active [à vérifier sur le détail exact des échanges].

Amazon affirme que ses honeypots ont détecté des tentatives d’exploitation dès le 17 octobre, avant même l’annonce publique. De son côté, Matthew Prince, patron de Cloudflare, a indiqué que les tentatives sur son réseau avaient atteint “millions” après la divulgation. Le scénario rappelle qu’une divulgation reste fragile quand des indices techniques circulent trop tôt. La mécanique de la confidentialité ressemble alors à une porte battante, pas à un coffre-fort.

Pourquoi les anciens environnements sont les plus exposés

Matthew Weier O’Phinney, qui signe l’analyse source, estime qu’environ 40 % des utilisateurs de PHP restent sur des versions non prises en charge. Les versions communautaires plus anciennes, jusqu’à PHP 5.4, sont concernées par au moins une des deux failles, et les équipes qui n’ont pas migré dépendent alors de correctifs fournis par des éditeurs LTS comme Zend [à vérifier selon les distributions]. Dans ce contexte, l’argument “on n’a jamais eu d’incident” pèse peu face à une vulnérabilité qui se situe sous l’application.

OpenAI a proposé un plan de réponse en cinq étapes pour les failles trouvées par l’IA et touchant de nombreux produits à la fois : valider et corriger, laisser du temps aux organisations affectées, coordonner avec les autorités, préparer les mises à jour sur plusieurs produits, puis publier des recommandations. Le laboratoire insiste aussi sur le fait que de tels cas devraient se multiplier dans les prochains mois. Autrement dit, le temps de réaction devient une ressource rare, presque une variable de capacité.