Les répercussions de PHP2Shell continuent de s'étendre. Le 22 octobre, plusieurs médias spécialisés en sécurité ont suivi l'affaire : pour la vulnérabilité au cœur de PHP (CVE-2026-109618, CVE-2026-109619), qualifiée par OpenAI de l'un des événements de sécurité les plus marquants de ces dernières années, les attaquants disposaient déjà d'une fenêtre d'exploitation de quatre jours avant la publication des correctifs officiels le 21 octobre. La faille se niche dans la gestion mémoire de l'interpréteur PHP, permet l'exécution de code à distance sans authentification, obtient 9,2 au score CVSS 4.0 et concerne quasiment toutes les versions de PHP servant des sites web.
Chronologie : de la chasse aux bugs assistée par IA à l'urgence mondiale
Le processus de découverte porte lui-même la signature de l'IA : le 11 août, Calif a trouvé l'une des failles critiques avec GPT-5.6 Sol dans le cadre de Patch the Planet, le programme d'OpenAI ; le 24 août, Wiz a découvert et signalé les deux failles de manière indépendante, à l'aide de Gemini 4 Argon, de GPT-5.6 Sol et de son propre outil Wiz Atlas ; le 18 septembre, l'équipe de sécurité d'OpenAI les a également signalées de façon indépendante. Le projet PHP prévoyait une divulgation coordonnée le 22 octobre, mais des détails ont fuité dès le 20 octobre, contraignant l'équipe à avancer les quatre versions correctives (8.5.12, 8.4.27, 8.3.36, 8.2.35) au 21 octobre. Et Amazon Threat Intelligence avait déjà détecté des tentatives d'exploitation contre un pot de miel le 17 octobre — les attaquants avaient quatre jours d'avance sur le correctif. Dans les 24 heures suivant la divulgation, Imperva a enregistré 480 000 requêtes d'attaque et 122 000 sessions d'attaque visant près de 22 000 sites dans 103 pays ; la NSA américaine, le NCSC britannique et la Maison-Blanche ont alors exhorté les agences fédérales et les opérateurs d'infrastructures critiques à évaluer immédiatement leur exposition.
Quelle est l'ampleur : ce n'est pas qu'un problème WordPress
Le point le plus facilement mal compris : il s'agit d'une vulnérabilité du runtime du langage PHP lui-même, pas d'un bug d'un plugin ou d'une application. WordPress, Drupal et Joomla ne sont que les victimes les plus visibles. Selon Wiz, toutes les versions de PHP 5.4 à 8.5.11 sont touchées par au moins l'une des failles ; le projet PHP classe le mod_php d'Apache comme l'environnement le plus à risque, car une attaque démontrée réussit en une seule requête non authentifiée, avant même l'exécution du code applicatif. Au-delà de l'exécution de code, la faille peut lire la mémoire du serveur à la manière de Heartbleed — mots de passe, jetons et clés d'API peuvent fuiter.
Que faire maintenant
La position du projet PHP est sans ambiguïté : mettre à jour est le seul choix sûr — mettre à jour l'application sans mettre à jour le runtime PHP ne colmate pas la brèche. Ceux qui ne peuvent pas mettre à jour immédiatement devraient appliquer des mesures d'atténuation provisoires : définir memory_limit à -1 là où les applications ne peuvent pas l'écraser, maintenir post_max_size à un niveau bas, désactiver session.upload_progress.enabled et mettre fatal_error_backtraces à 0 sous PHP 8.5, puis redémarrer tous les processus workers. Ces mesures ne bloquent que les voies d'attaque connues et ne remplacent pas la mise à jour.
PHP2Shell fera date : pour la première fois, la chasse aux bugs assistée par IA a transformé une faille profonde cachée depuis plus d'une décennie en une chaîne d'exploitation reproductible — OpenAI comme Wiz ont eu besoin de plus d'un modèle pour la déterrer. Cette fois, l'écart entre attaquants et défenseurs était de quatre jours ; la prochaine fois, ce sera peut-être moins. Pour les exploitants de sites et les équipes d'exploitation, il n'y a qu'une conclusion : mettez à jour le runtime PHP maintenant, pas plus tard.
