Si votre site tourne sous WordPress, PrestaShop, Drupal ou Nextcloud, c’est le moment d’appeler votre hébergeur. Mercredi 21 octobre, l’équipe de PHP, le langage qui fait tourner près de sept sites sur dix dont la technologie est connue, a publié en urgence des correctifs pour deux failles critiques baptisées « PHP2Shell ». Elles ont été trouvées par des chercheurs qui travaillaient avec des modèles d’IA, trois mois après « wp2shell », une faille de WordPress dénichée de la même manière.
Au cœur du langage, pas des sites
Les deux failles (CVE-2026-109618 et CVE-2026-109619) touchent la gestion de la mémoire du moteur de PHP lui-même, et non une application. Notées 9,2 sur 10, elles peuvent permettre à un attaquant d’exécuter du code à distance, sans compte ni action de la victime. L’attaque est complexe : elle demande en général des milliers de requêtes. Mais elle concerne toutes les versions depuis PHP 5, et mettre à jour WordPress ou ses extensions ne sert à rien : c’est PHP qu’il faut mettre à jour, vers les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, puis redémarrer le serveur web. « Il n’existe pas de parade complète, la mise à jour est le seul choix sûr », prévient l’équipe de PHP, qui a avancé la publication d’un jour après la fuite d’une vidéo de démonstration. Le CERT-FR a émis une alerte. À ce stade, aucune exploitation n’est confirmée, mais des codes d’attaque circulent.
Le vrai problème, ce sont les vieilles versions. PHP 8.1 et les précédentes ne reçoivent plus de correctif officiel, or elles font encore tourner une grande partie du web : selon notre estimation à partir des statistiques de W3Techs, près d’un site PHP sur deux utilise une version qui n’est plus suivie. Il faut aussi penser aux boîtiers et aux serveurs de stockage en réseau qui embarquent PHP sans qu’on y pense.
L’IA, outil du chercheur
La découverte a été faite de façon indépendante par plusieurs équipes. Ryan Austin, de la société californienne Calif, travaillait dans le programme « Patch the Planet » d’OpenAI, qui attribue la trouvaille à son modèle GPT-5.6 Sol ; les chercheurs de Wiz, filiale de Google, se sont appuyés sur Gemini 4 Argon et GPT-5.6 Sol. Les deux laboratoires en font une démonstration de force. Ryan Austin, lui, tempère : « Aucun modèle n’est capable de dénicher “tous les bugs” avec de simples requêtes. Du moins pour l’instant. » Il raconte avoir guidé l’IA grâce à sa connaissance de l’historique des failles de PHP, dont des travaux de 2004. « Connaître sa cible », résume-t-il, reste la règle.
Le paradoxe est cruel pour les bénévoles du logiciel libre. En mai, la fondation PHP créait une équipe de sécurité, notamment parce qu’elle était submergée de rapports de bugs bâclés générés par IA ; en janvier, le projet curl avait supprimé ses récompenses pour la même raison. Les mêmes outils produisent le bruit qui épuise les mainteneurs et la découverte qui les oblige à travailler dans l’urgence. OpenAI le reconnaît : les capacités qui trouvent les failles avant les attaquants peuvent aussi aider les attaquants à fabriquer leurs armes. La course est lancée, et elle se joue sur un point très simple : la vitesse de mise à jour. Comme pour les frigos piratés de nos supermarchés, la meilleure défense n’a rien de futuriste : c’est l’entretien.
Sources
- php.net — Avis de sécurité et versions correctives (21 octobre 2026)
- CERT-FR — Alerte CERTFR-2026-ALE-014
- CERT-EU — Security advisory 2026-018
- Wiz — PHP2Shell
- Calif (Ryan Austin) — Le récit de la découverte
- CyberScoop — PHP emergency patches (21 octobre 2026)
- Heise — PHP2Shell : critical flaws allow code injection in PHP
- W3Techs — Usage statistics of PHP
- The PHP Foundation — Ecosystem Security Team (18 mai 2026)
