Le 21 octobre 2026, le projet PHP a publié des mises à jour de sécurité d'urgence corrigeant deux vulnérabilités critiques — CVE-2026-109618 et CVE-2026-109619, connues ensemble sous le nom de PHP2Shell — qui permettent à un attaquant d'exécuter du code à distance sur un serveur affecté sans se connecter. Les deux sont notées 9,2 sur 10 en sévérité, et les versions remontant à PHP 5.4, sorti en 2012, sont affectées. Les correctifs sont arrivés dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; PHP 8.1 et les versions antérieures ne reçoivent aucun correctif officiel.

La publication a été avancée d'un jour après la fuite de détails de base sur les failles sur les réseaux sociaux le 20 octobre. Des États ont mis des sites web hors ligne par précaution pendant l'application des correctifs — notamment les sites des préfectures françaises, le ministère allemand du numérique, le parlement néerlandais, l'administration centrale finlandaise et, au Royaume-Uni, l'Office for Budget Responsibility et NHS Scotland. La National Security Agency américaine a émis un rare avertissement public recommandant de mettre les sites web hors ligne s'ils ne pouvaient pas être mis à jour immédiatement. Un ingénieur sécurité PHP a comparé PHP2Shell à Heartbleed, la faille de 2014 qui avait mobilisé les administrateurs du monde entier.

C'est l'angle IA qui fait de cet épisode un événement marquant : les failles étaient restées indétectées pendant plus d'une décennie et ont été découvertes avec l'aide de modèles IA de pointe. Des chercheurs de la PHP Foundation avaient identifié une faille théorique en 2024 sans parvenir à comprendre comment elle pouvait être exploitée ; après que la fondation a rejoint l'initiative « Patch the Planet » d'OpenAI en juillet 2026, des chercheurs de la société de sécurité Calif ont signalé la première faille le 11 août grâce à GPT-5.6 Sol d'OpenAI, et Wiz — société de sécurité détenue par Alphabet — a signalé la seconde le 24 août grâce à des modèles incluant Gemini 4 Argon de Google. Les chercheurs estiment qu'environ 1,3 million d'hôtes connectés à Internet pourraient être exposés, et PHP fait tourner environ 70 % des sites web dont le langage côté serveur est connu. L'IA a trouvé les failles rapidement — et, comme le préviennent les sociétés de sécurité, elle peut les exploiter tout aussi vite, d'où la nécessité de corriger sans attendre.

Sources