Deux failles critiques de PHP, baptisées ensemble PHP2Shell (CVE-2026-109618 et CVE-2026-109619), permettent d'exécuter du code sur un serveur sans mot de passe. Les correctifs sont sortis le 21 octobre, mais le bilan montre que les attaques ont commencé plus tôt.
Ce que l'on sait
La société de sécurité Calif a trouvé les bogues. On les avait d'abord jugés inexploitables, puis les chercheurs ont mis au point une attaque et prévenu la PHP Foundation. Celle-ci a organisé un embargo confidentiel pour que les grandes entreprises et les hébergeurs corrigent en avance. WordPress, Drupal, Joomla et MediaWiki, qui fait tourner Wikipédia, étaient concernés. Selon l'article, environ 70 % des sites web reposent sur PHP.
Là où ça a dérapé
Amazon a repéré des tentatives d'exploitation environ une semaine avant la publication des correctifs et conseillait de chercher des traces dès le 17 octobre. Les hypothèses : une fuite pendant l'embargo, une découverte indépendante ou de l'espionnage. La fondation accuse une entreprise d'avoir publié des correctifs quelques heures avant la fin de l'embargo. Vendredi soir, Palo Alto Networks et Trail of Bits ont confirmé des compromissions, et Cloudflare a signalé une forte hausse des tentatives après la divulgation.
Le rôle de l'IA
Calif affirme que l'IA a aidé à l'exploitation, mais que l'essentiel du travail vient de l'expérience des chercheurs. Aucun modèle ne trouve encore tous les bogues avec une simple requête.
Que faire
Banques, commerces et hôpitaux ont mis des serveurs hors ligne pour les mettre à jour. Les petites équipes, les développeurs isolés et les produits intégrant PHP seront les plus lents, et certains systèmes anciens ne seront jamais corrigés. En pratique : mettre PHP à jour et examiner les journaux depuis le 17 octobre.