PHP2Shell : deux failles critiques dans PHP (9,2/10) découvertes par l'IA, corrigez vos serveurs maintenant

Deux failles critiques dans le langage PHP, notées 9,2/10, ont été corrigées en urgence mercredi 21 octobre 2026. Baptisées « PHP2Shell » par les chercheurs, elles permettaient à un attaquant non authentifié d'exécuter du code à distance sur un serveur — et ce sont des modèles d'IA de pointe qui les ont découvertes.

Des failles d'une gravité exceptionnelle

Identifiées comme CVE-2026-109618 et CVE-2026-109619, les deux vulnérabilités affichent un score CVSS v4.0 de 9,2 chacune. Elles se situent dans le cœur du moteur PHP (la gestion des erreurs fatales et des dépassements de mémoire) et non dans un plugin ou un thème : toutes les installations PHP qui servent des requêtes web sont concernées, qu'elles tournent sous PHP-FPM, Apache mod_php, php-cgi, FrankenPHP ou LiteSpeed. La configuration mod_php est la plus exposée : un seul appel non authentifié suffit à déclencher l'attaque, avant même l'exécution du code de l'application.

Surtout, le code vulnérable est présent « depuis plus d'une décennie » : toutes les versions de PHP depuis la 5.4 sont touchées par au moins l'une des deux failles. Avec PHP présent sur environ 70 % des sites web (WordPress, Drupal, Joomla, le MediaWiki de Wikipédia...), la surface d'attaque est immense.

L'IA à la manœuvre

C'est là que l'histoire devient fascinante : les failles ont été découvertes par Wiz Research à l'aide de son agent Wiz Atlas combiné à Gemini 4 Argon (Google) et GPT-5.6 Sol (OpenAI). La société de sécurité Calif a indépendamment signalé l'une des failles via le programme « Patch the Planet » d'OpenAI, toujours avec GPT-5.6 Sol. « Les modèles de pointe ont été essentiels pour rendre ce processus faisable, nous permettant de développer et d'adapter des exploits fonctionnels sur plusieurs applications en quelques heures », écrivent les chercheurs de Wiz. Le premier bogue a été trouvé le 19 août et signalé à PHP le 24 août.

Une divulgation qui a dérapé

La divulgation coordonnée, prévue pour le 22 octobre, a fuité dès le 20 octobre. L'équipe PHP a avancé la publication des correctifs au 21 octobre à 14 h 00 UTC (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec des rétroportages pour les 8.1, 8.0 et 7.4). Trop tard pour éviter les premières attaques : le pot de miel MadPot d'Amazon a enregistré une tentative d'exploitation dès le 17 octobre, et Tenable rapporte une exploitation généralisée. Cloudflare a déjà déployé des règles de pare-feu applicatif.

Les gouvernements s'en mêlent : la NSA américaine conseille de mettre hors ligne les serveurs qui ne peuvent pas être patchés. OpenAI, qui qualifie l'incident de « l'un des problèmes de sécurité les plus marquants de mémoire récente », a promis 1 milliard de dollars d'accès subventionné à ses outils de sécurité Daybreak et dit avoir travaillé avec la Maison-Blanche, le Bureau du directeur national de la cybersécurité et la CISA.

Notre avis

PHP2Shell est un tournant : la première vulnérabilité majeure où l'IA n'est plus un simple assistant, mais l'instrument décisif de la découverte — et, potentiellement, de l'exploitation. Les défenseurs gagnent un allié redoutable, mais la course s'accélère : un exploit conçu « en quelques heures » par des modèles de pointe, c'est aussi une arme entre de mauvaises mains. Pour les administrateurs, le message est simple : mettez à jour PHP immédiatement, il n'existe aucune atténuation complète.