Des défauts mémoire cachés dans le moteur PHP depuis plus de dix ans ont été transformés en chaînes d'attaque distantes fonctionnelles avec l'aide de modèles de pointe. Le 21 octobre 2026, Wiz Research a divulgué publiquement ce groupe de vulnérabilités baptisé PHP2Shell, et l'équipe PHP a publié des correctifs le même jour. Les failles sont suivies sous CVE-2026-109618 et CVE-2026-109619, avec une gravité maximale de 9,2. Presque toutes les versions de PHP des dix dernières années sont touchées par au moins l'une d'elles, jusqu'à la 5.4.
Le bug est dans le langage, pas dans le code des sites
PHP fait tourner environ 70 % des sites web mondiaux, dont WordPress, Drupal, Joomla et MediaWiki, le logiciel derrière Wikipédia. Le problème tient à la façon dont PHP gère les erreurs fatales, en particulier les erreurs de mémoire insuffisante : une requête qui se termine anormalement peut laisser un état interne corrompu, et une requête ultérieure réutilisant cet état peut lire la mémoire du processus, voire exécuter du code arbitraire. Wiz a démontré une exécution de code distante sans authentification sur des images WordPress, Drupal et Joomla récentes, ainsi qu'une lecture de la mémoire du processus serveur sans exécution de code — une mémoire pouvant contenir mots de passe, jetons et certificats d'autres requêtes. En résumé, même un code de site impeccable reste exposé tant que le PHP sous-jacent n'est pas corrigé.
L'IA a abaissé la barrière d'exploitation, pas seulement le temps de découverte
Le code vulnérable est resté en place plus de dix ans. S'il n'a jamais été exploité à grande échelle, c'est aussi parce qu'enchaîner des bugs mémoire en un exploit stable est un travail minutieux, à adapter à chaque version et disposition mémoire. Selon Wiz, la recherche a mobilisé ses propres outils ainsi que des modèles de pointe comme Gemini 4 Argon et GPT-5.6 Sol pour la découverte, le développement d'exploits, la détection et la validation du correctif ; l'initiative Patch the Planet d'OpenAI a aussi participé à la découverte et à la coordination avant divulgation. Qu'un seul chercheur accomplisse en environ une semaine ce qui demandait autrefois des mois à une équipe de classe mondiale est le vrai signal d'alerte : on ne peut plus juger du danger d'un vieux bug uniquement à sa difficulté d'exploitation, car les modèles font baisser ce coût.
Pour les exploitants de sites, une tâche prime sur les autres
Passer à une version officielle corrigée de PHP est le seul remède complet, et chaque retard augmente la probabilité que les détails publics soient reconstruits en outils généralistes. Les environnements qui ne peuvent pas encore mettre à jour peuvent s'appuyer sur les mesures d'atténuation préparées par les fournisseurs cloud et d'hébergement avant la divulgation, surveiller les envois multipart anormaux suivis d'erreurs de limite mémoire et de réponses 500 répétées ou de redémarrages fréquents des workers PHP, et programmer la mise à jour au plus vite. Un composant auquel personne n'a touché depuis dix ans n'est pas sûr pour autant — cette fois c'était PHP ; la prochaine fois, ce peut être n'importe quel fondement partagé du web.
