Les développeurs du langage PHP ont déployé des mises à jour de sécurité urgentes pour corriger deux vulnérabilités extrêmement graves connues sous le nom de PHP2Shell. Celles-ci permettent aux attaquants d'exécuter du code malveillant à distance (Remote Code Execution) sans nécessiter d'authentification préalable, alors que des attaques réelles tentant de les exploiter ont été enregistrées sur Internet.
Détails des vulnérabilités et zones de risque dans le moteur PHP
Les deux vulnérabilités ont été enregistrées sous les références CVE-2026-109618, résultant d'une corruption de la mémoire lors de son épuisement (Out-of-Memory Corruption), et CVE-2026-109619, liée à un état global ancien et non synchronisé (Stale Global State). Elles ont reçu un score de gravité de 9,2 sur l'échelle CVSS. La PHP Foundation a confirmé que ces deux failles résident dans des mécanismes sensibles traversés par presque chaque requête au sein du moteur : la gestion de la mémoire et le traitement des erreurs de programmation, ce qui rend leur impact étendu et leur résolution extrêmement complexe.
La fondation a précisé que chaque serveur PHP traitant des requêtes web est exposé, y compris les serveurs Apache via mod_php, les environnements PHP-FPM, php-cgi, FrankenPHP, ainsi que LiteSpeed. Le problème s'étend également à la lecture de l'espace mémoire des processus, ce qui pourrait exposer des clés d'API, des mots de passe et des données sensibles stockées en cache.
Fuite précoce et attaques précédant le correctif
L'annonce coordonnée des vulnérabilités était prévue pour le 22 octobre, mais une fuite accidentelle de détails et de preuves de concept (PoC) sur Internet a poussé l'équipe à avancer la date de publication du correctif. Durant les heures précédant la mise à jour générale, des entités de sécurité, dont WatchTowr, Patchstack, Cloudflare et Hadrian, ont détecté des tentatives d'exploitation massives ciblant principalement le chemin de suivi du téléchargement de sessions (session upload-progress) dans PHP.
Les mises à jour incluant les correctifs concernent les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, en plus de correctifs rétroactifs limités du code source pour les anciennes versions telles que PHP 7.4, 8.0 et 8.1, la racine du problème remontant historiquement à des versions datant de PHP 5.4.
Rôle des modèles d'intelligence artificielle dans la découverte
La société de sécurité du cloud computing Wiz, en collaboration avec OpenAI et les laboratoires Calif, a découvert ces vulnérabilités en août. Bien que le défaut initial lié à l'épuisement de la mémoire ait été repéré pour la première fois en 2020 et redécouvert en 2024, il n'avait pas été classé comme un risque imminent car sa capacité d'exploitation logicielle n'avait pas été prouvée à l'époque. Cependant, l'utilisation de modèles d'intelligence artificielle avancés a permis aux chercheurs de construire des chaînes d'exploitation extrêmement complexes qui ont transformé cette faiblesse mémoire en exécution de commandes à distance.
Pourquoi cette évolution est-elle importante et quel est son impact ?
Le langage PHP alimente près de 70 % des sites web dans le monde et est utilisé par des plateformes de gestion de contenu populaires telles que WordPress, Drupal et MediaWiki (qui fait fonctionner Wikipédia). La présence d'une faille dans le moteur de base du langage signifie que des millions de sites sont devenus vulnérables aux piratages, même si les applications logicielles installées par-dessus sont parfaitement sécurisées et exemptes d'erreurs. Cela impose aux administrateurs système et aux équipes opérationnelles d'appliquer les mises à jour immédiatement et de vérifier les journaux des serveurs pour s'assurer qu'ils n'ont pas subi d'intrusion préventive.