L'IA trouve deux failles graves dans PHP et une grande partie du web se précipite pour corriger

Deux failles graves dans PHP, le logiciel qui fait fonctionner environ 70 pour cent des sites web du monde, ont été rendues publiques mercredi 21 octobre, et les propriétaires de sites se sont précipités pour installer des correctifs d'urgence. Les développeurs de PHP ont publié des versions mises à jour le même jour et demandé à tous les utilisateurs de mettre à jour immédiatement.

Les failles sont référencées CVE-2026-109618 et CVE-2026-109619, et les chercheurs les appellent ensemble php2shell. Toutes deux ont une gravité de 9,2 sur 10. PHP travaille en coulisses sur les serveurs, traite les formulaires et va chercher les informations pour les sites construits sur des plateformes comme WordPress, Drupal et Joomla.

Ce que font les failles

Les failles se situent dans la façon dont PHP gère les erreurs lorsqu'il traite des requêtes web. Si une requête est trop volumineuse et que PHP manque de mémoire, le logiciel ne libère pas la mémoire qu'il a tenté d'utiliser, a expliqué Cloudflare. Un attaquant qui manipule les données dans cette mémoire peut bloquer le processus, lire des informations sensibles sur le serveur ou exécuter son propre code sur la machine, le tout sans se connecter.

Wiz, la société de sécurité détenue par Alphabet, la maison mère de Google, a dit avoir démontré des attaques réussies contre des installations WordPress, Drupal et Joomla, et avoir pu lire des mots de passe et des identifiants dans la mémoire d'un serveur. L'unité Unit 42 de Palo Alto Networks a compté plus de 22,6 millions de systèmes exposés sur internet qui pourraient être vulnérables. Tous les sites PHP ne peuvent pas être exploités, car les configurations diffèrent, mais les développeurs ont dit que toutes les installations qui traitent des requêtes web sont à risque.

L'IA a trouvé les failles, une fuite a avancé le calendrier

La société Calif a trouvé la première faille à l'aide du modèle GPT-5.6 Sol d'OpenAI et l'a signalée à PHP le 11 août 2026, selon Reuters. Wiz a trouvé les failles de son côté et en a signalé une deuxième le 24 août 2026, elle aussi à l'aide de modèles d'IA. Les correctifs se préparaient en secret jusqu'à la fuite des détails sur le forum Hacker News, mardi 20 octobre 2026. Les développeurs ont alors avancé la publication d'un jour.

OpenAI a qualifié ces failles de l'un des problèmes de sécurité les plus lourds de conséquences de ces dernières années, et a dit avoir travaillé avec la Maison-Blanche, le bureau du directeur national du cyber et l'agence CISA pour que les consignes parviennent aux opérateurs de services essentiels. La Maison-Blanche a dit mercredi travailler à accélérer la diffusion du correctif et à protéger les réseaux américains.

Des gouvernements débranchent leurs sites plutôt que de risquer

La NSA, le FBI et CISA ont exhorté mercredi les organisations à appliquer le correctif aussitôt, et à mettre hors ligne les systèmes qui ne pouvaient pas être sécurisés rapidement. La NSA a dit que ce type de faille offre souvent à un attaquant un chemin direct vers le système de fichiers ou la base de données d'un serveur. Les agences cyber du Royaume-Uni, du Canada, de l'Australie et de l'Union européenne ont publié des avis similaires. Le gouvernement finlandais et la Chambre des représentants des Pays-Bas ont déconnecté des sites mercredi pendant la mise à jour.

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mettre à jour WordPress ou une autre application ne met pas à jour le PHP en dessous, donc les propriétaires doivent mettre à jour le paquet serveur lui-même, ou obtenir la confirmation de leur hébergeur. Cloudflare a dit avoir mis en place des règles de pare-feu pour protéger ses clients. Les experts de watchTowr et Sophos ont dit que des criminels discutaient déjà des failles et cherchaient des systèmes ouverts, même si aucune attaque réussie n'avait été confirmée mercredi après-midi.