Des chercheurs en sécurité ont annoncé la découverte de deux vulnérabilités critiques dans le moteur du langage de programmation PHP, qui, selon les rapports de la société de recherche Wiz, constitue la base d'environ 70 % des sites Web dans le monde. Les deux vulnérabilités ont été identifiées sous les références CVE-2026-109618 et CVE-2026-109619, et sont connues collectivement sous le nom de PHP2Shell, ayant obtenu un score de gravité de 9,2 sur l'échelle CVSS v4.0.
La société Calif.io a réussi à découvrir l'une des vulnérabilités en utilisant le modèle GPT-5.6 Sol d'OpenAI, tandis que la société Wiz a découvert indépendamment les deux vulnérabilités en utilisant l'outil Wiz Atlas en collaboration avec le modèle Gemini 4 Argon de Google et le modèle GPT-5.6 Sol. Les rapports de Cloudflare ont également souligné la participation d'autres entités de sécurité telles que Quarkslab dans la détection de ces défauts logiciels, dont la présence s'étend sur plus d'une décennie dans différentes versions de PHP.
Des failles de sécurité latentes depuis une décennie
Les racines du problème remontent au mécanisme par lequel le moteur PHP traite les erreurs ; lorsqu'une requête logicielle plante ou que la mémoire qui lui est allouée est épuisée, le moteur peut laisser derrière lui des références à une mémoire précédemment libérée (Use-After-Free). La requête suivante traitée par le même processus peut traiter ces références comme étant valides.
Les recherches ont prouvé que les attaquants peuvent exploiter ce comportement, ainsi que des défauts de mélange de types, pour accéder à des données sensibles ou exécuter du code malveillant à distance sur des plateformes populaires telles que WordPress, Drupal et Joomla sans avoir besoin de se connecter. Les chercheurs ont confirmé que certains codes infectés remontent à la version PHP 5.4, et ces défauts sont restés cachés pendant toutes ces années en raison de la difficulté de combiner plusieurs points faibles pour créer une attaque réussie, ce qui constitue le rôle crucial joué par l'intelligence artificielle dans l'accélération du processus de découverte en quelques jours seulement.
Rapidité de réponse et publication des correctifs
Le processus de traitement a commencé après la découverte de la première vulnérabilité par Wiz le 19 août et la confirmation de sa capacité à exécuter du code sur Drupal puis sur WordPress dans les jours suivants. L'équipe de sécurité de PHP a été officiellement informée le 24 août, et les versions correctives ont été publiées le 21 octobre après une coordination intensive impliquant de grandes entreprises telles que Cloudflare, Google Cloud, AWS, Microsoft et Akamai.
Qu'est-ce qui change concrètement pour les développeurs et les administrateurs système ?
PHP a publié les versions sécurisées vers lesquelles les équipes de développement et les administrateurs système doivent mettre à jour leurs serveurs immédiatement, à savoir : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. En cas d'utilisation de distributions Linux ou de fournisseurs d'hébergement géré, il est conseillé de consulter les fournisseurs pour vérifier l'application des mises à jour rétroactives (Backporting).
En outre, OpenAI a proposé un cadre de travail proactif en cinq étapes pour traiter les vulnérabilités révélées par l'intelligence artificielle, passant par la vérification, les tests avancés via des modèles, la distribution progressive des données aux distributeurs et fournisseurs de services, jusqu'aux agences gouvernementales et aux infrastructures critiques. La société a également fourni un outil pour scanner localement les versions de PHP afin de vérifier la présence de versions vulnérables, tout en avertissant que les outils de protection tels que les pare-feu (WAF) ne constituent qu'une couche de défense temporaire et ne remplacent en aucun cas la mise à jour réelle du code logiciel sur les serveurs.