Failles PHP2Shell : des chercheurs assistés par l’IA alertent 70 % des sites web

Au cœur de PHP2Shell : dix ans d’exposition et un correctif avancé au 21 octobre

Le mercredi 21 octobre 2026, des chercheurs en sécurité et les mainteneurs du langage de programmation PHP ont divulgué et corrigé un ensemble de vulnérabilités critiques d’exécution de code à distance (RCE) regroupées sous le nom de PHP2Shell. Selon Wiz Research, ces failles sont répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619 et atteignent un score de sévérité CVSS de 9.2. Wiz précise que chaque version de PHP publiée au cours de la dernière décennie est affectée par au moins l’une de ces vulnérabilités, l’exposition remontant jusqu’à PHP 5.4.

L’ampleur du risque potentiel découle du rôle fondamental joué par PHP sur le web. Comme l’a rapporté The Philadelphia Inquirer, PHP est utilisé par jusqu’à 70 % des sites web sur Internet, tandis que TidBITS a souligné que ces failles permettent une exécution de code à distance sans authentification au sein même de PHP — le langage sur lequel reposent les grands systèmes de gestion de contenu (CMS) tels que WordPress, Drupal et Joomla. Interrogé par des journalistes du Wall Street Journal dans un article repris par To Vima, Volker Dusch, de la PHP Foundation, a qualifié PHP2Shell de problème de sécurité le plus grave auquel PHP ait été confronté depuis plus d’une décennie, comparant son impact à la faille historique Heartbleed.

La complexité du correctif comme la rapidité d’exploitation potentielle justifient cette comparaison. D’après l’article syndiqué par To Vima, le correctif PHP a touché près de 200 fichiers et plus de 10,000 lignes de code, tandis qu’une exploitation réussie ne nécessitait que quelques dizaines de requêtes. Selon la chronologie publiée par Wiz, la première vulnérabilité a été découverte le 19 août 2026, signalée à l’équipe de sécurité de PHP le 24 août et formellement reconnue le 21 septembre. Comme l’a rapporté Deseret News, la publication du correctif était initialement prévue pour le jeudi 22 octobre 2026, mais l’existence des travaux a fuité le mardi, obligeant les mainteneurs à avancer d’une journée la sortie des versions corrigées et la divulgation publique au mercredi 21 octobre 2026.

Comment l’IA a débusqué un bogue vieux de plusieurs décennies — et pourquoi les sources divergent sur l’attribution

L’aspect le plus frappant de PHP2Shell tient sans doute au fait que la faiblesse sous-jacente ne provenait pas d’un code récemment ajouté. Selon Deseret News, le problème sous-jacent avait été signalé il y a plusieurs décennies, mais les experts humains en sécurité l’avaient alors jugé trop difficile à exploiter en pratique et l’avaient relégué au second plan. Les modèles modernes d’intelligence artificielle ont changé la donne en combinant les conditions nécessaires pour transformer une faiblesse théorique longtemps écartée en une attaque fonctionnelle d’exécution de code à distance.

Les articles de presse et les avis des éditeurs divergent toutefois sur l’équipe de recherche et les outils d’IA qui ont découvert les failles en premier. Selon Deseret News, Ryan Austin, chercheur en sécurité numérique chez Calif, a mis au jour les vulnérabilités lors d’un audit réalisé en août à l’aide de la plateforme GPT-5.6 Sol d’OpenAI. The Philadelphia Inquirer a également rapporté que Calif avait trouvé le bogue dans le cadre d’une initiative pilotée par OpenAI visant à aider les chercheurs en sécurité à identifier des vulnérabilités Internet grâce à des outils d’IA. À l’inverse, le billet technique de Wiz Research attribue le mérite à ses propres outils d’IA — plus précisément Wiz Atlas, Gemini 4 Argon de Google et GPT-5.6 Sol d’OpenAI — en affirmant que Gemini 4 Argon a apporté « une contribution inestimable » à la découverte de la vulnérabilité, au développement de l’exploit, à la détection des attaques et à la validation du correctif.

Quelle que soit la répartition du mérite entre Calif et Wiz, le caractère à double usage de la recherche de failles assistée par l’IA a immédiatement suscité des mises en garde. Dans une déclaration citée par The Philadelphia Inquirer, OpenAI a souligné que si l’IA permet de découvrir des failles de sécurité ayant un impact à l’échelle d’Internet, ces mêmes capacités peuvent également aider des attaquants à développer rapidement des outils offensifs et des exploits.

Règles WAF d’urgence, avertissements de la NSA et impératif de mise à jour du moteur PHP

Face à un exploit sans authentification ne nécessitant que quelques dizaines de requêtes et menaçant jusqu’à 70 % des serveurs web, les réseaux périphériques (CDN/WAF) et les agences gouvernementales se sont mobilisés parallèlement à la divulgation. Selon PPC Land, Cloudflare a déployé des règles de pare-feu d’application web (WAF) bloquant les exploits PHP2Shell dès 03:02 UTC le 21 octobre 2026 — soit environ neuf heures avant que les failles ne soient rendues publiques — y compris pour les offres gratuites, tout en rappelant que les clients doivent impérativement mettre à jour leurs installations PHP. Wiz Research a pareillement indiqué que des fournisseurs tels que Cloudflare, Fastly et Vercel avaient publié des mesures d’atténuation temporaires, mais a insisté sur le fait que l’application de la mise à jour de sécurité officielle de PHP constitue la seule remédiation complète.

Les grandes plateformes d’hébergement géré ont agi simultanément. D’après TidBITS, WordPress.com a déclaré que ses sites hébergés étaient déjà protégés contre les vulnérabilités critiques PHP2Shell, tandis que DreamHost a annoncé avoir appliqué les mises à jour de sécurité officielles de PHP sur la majeure partie de son réseau, un lecteur relevant le passage à la version PHP 8.3.36.

Pour les serveurs auto-hébergés ne pouvant pas être corrigés sur-le-champ, la consigne des autorités américaines a été directe. Comme l’a rapporté Deseret News, la National Security Agency (NSA) a recommandé à toutes les organisations utilisant PHP pour leurs systèmes de se préparer à une mise à jour, et The Philadelphia Inquirer a précisé que le Cybersecurity Collaboration Center de la NSA avait conseillé aux sites ne pouvant pas corriger le problème immédiatement de se mettre temporairement hors ligne plutôt que de rester exposés.

Ce que cela implique pour les hébergeurs, sites e-commerce et portails publics en Algérie

En Algérie, WordPress, Drupal, Joomla et les applications PHP sur mesure font tourner la grande majorité des médias en ligne, des boutiques de commerce électronique, des agences digitales et des portails institutionnels. Parce que PPC Land rappelle que la mise à jour du code d’un site ou de ses extensions (plugins) ne corrige en rien les failles situées dans le moteur d’exécution PHP lui-même, les administrateurs systèmes et propriétaires de sites algériens doivent appliquer quatre mesures immédiates.

1. Mettre à jour le moteur d’exécution PHP sous-jacent — et pas seulement les extensions WordPress ou Joomla

L’erreur la plus dangereuse lors d’une crise de vulnérabilité web consiste à croire qu’un clic sur « Mettre à jour les extensions » ou « Mettre à jour WordPress » dans le tableau de bord suffit à sécuriser le serveur. Étant donné que CVE-2026-109618 et CVE-2026-109619 résident au cœur du moteur d’exécution PHP — et que le correctif officiel a modifié près de 200 fichiers et plus de 10,000 lignes de code du moteur PHP — la mise à jour du code applicatif ou des plugins n’élimine pas la faille. Les administrateurs systèmes algériens qui gèrent des serveurs VPS, des serveurs dédiés ou des infrastructures Linux sur site doivent mettre à jour les paquets système php-fpm, mod_php ou les images de conteneurs vers les versions corrigées du 21 octobre 2026 (telles que PHP 8.3.36 mentionnée chez DreamHost) et redémarrer les processus PHP.

2. Auditer les serveurs anciens exécutant des versions obsolètes jusqu’à PHP 5.4

Wiz Research a averti que toutes les versions de PHP publiées au cours de la dernière décennie sont touchées par au moins l’une des vulnérabilités PHP2Shell, l’exposition remontant jusqu’à PHP 5.4. De nombreux portails communaux, sous-domaines universitaires et sites d’entreprises anciens en Algérie fonctionnent encore sur des branches PHP 5.x ou PHP 7.x non maintenues, pour lesquelles les dépôts Linux standards ne fournissent plus de correctifs automatiques. Les équipes IT doivent inventorier dès aujourd’hui chaque version de PHP exposée sur Internet ; si une application ancienne ne peut pas être migrée immédiatement vers une version corrigée de PHP, les administrateurs doivent suivre la recommandation du Cybersecurity Collaboration Center de la NSA en mettant temporairement hors ligne les serveurs impossibles à corriger.

3. Placer immédiatement les sites non corrigés derrière des règles WAF périphériques

Bien que Wiz et Cloudflare rappellent tous deux que la mise à jour du moteur PHP reste la seule remédiation complète, les mesures d’atténuation périphériques de Cloudflare, Fastly et Vercel offrent un filet de sécurité précieux pendant que les équipes techniques testent les mises à niveau. Cloudflare a notamment activé ses règles WAF contre PHP2Shell dès 03:02 UTC le 21 octobre 2026 sur l’ensemble de son réseau, y compris pour les offres gratuites. Les éditeurs de presse, commerçants en ligne et agences digitales algériennes gérant leurs propres serveurs doivent vérifier que tout leur trafic HTTP/HTTPS transite par un WAF actif — et que l’adresse IP du serveur d’origine est filtrée afin d’empêcher les attaquants de contourner le CDN pour envoyer directement les quelques dizaines de requêtes d’exploitation.

4. Intégrer la vitesse d’exploitation assistée par l’IA dans la gouvernance des correctifs

PHP2Shell démontre que les hypothèses historiques sur les bogues anciens jugés « inexploitables » ne tiennent plus lorsque des chercheurs — et des attaquants — utilisent des modèles tels que GPT-5.6 Sol, Gemini 4 Argon et des plateformes spécialisées comme Wiz Atlas. Un problème relégué au second plan par des experts humains il y a plusieurs décennies a été transformé en exploit opérationnel, et comme l’a averti OpenAI, ces mêmes capacités d’IA peuvent aider des acteurs malveillants à développer rapidement des outils offensifs. Les RSSI et hébergeurs algériens doivent réduire leurs fenêtres de déploiement de correctifs pour les moteurs d’exécution exposés sur Internet de plusieurs semaines à quelques heures.

L’enseignement structurel : l’IA audite désormais les fondations logicielles d’Internet

La divulgation des failles CVE-2026-109618 et CVE-2026-109619 le 21 octobre 2026 marque un tournant dans la sécurité logicielle. Pendant des décennies, les moteurs open source qui font fonctionner jusqu’à 70 % du web ont reposé sur l’idée que certaines subtilités architecturales enfouies dans le code étaient trop complexes pour être exploitées. Lorsque des audits assistés par l’IA menés par des équipes chez Calif et Wiz parviennent à exhumer ces failles et imposent un correctif de plus de 10,000 lignes à travers près de 200 fichiers, plus aucune base de code ancienne ne peut être considérée comme protégée par sa seule complexité.

Pour les hébergeurs web, les agences digitales et les équipes IT d’entreprise en Algérie, PHP2Shell constitue à la fois un exercice de mise à jour d’urgence et un aperçu de la prochaine décennie en cybersécurité : les défenseurs qui automatisent la mise à jour de leurs moteurs d’exécution et imposent un filtrage WAF périphérique résisteront aux divulgations accélérées par l’IA, tandis que ceux qui se contentent de mettre à jour leurs plugins applicatifs resteront exposés.

Questions Fréquemment Posées

Sources et lectures complémentaires

• PHP2Shell: Critical Remote Code Execution Vulnerabilities in Core PHP — Wiz
• PHP2Shell Vulnerabilities Put 70% of Websites at Risk — TidBITS
• AI Uncovers Critical Security Flaw in PHP Programming Language — Deseret News
• PHP2Shell Software Flaw Puts Up to 70% of Websites at Risk — The Philadelphia Inquirer
• AI Just Found a Bug That Puts Up to 70% of the World’s Websites at Risk — To Vima (WSJ Syndication)
• Cloudflare Blocks PHP2Shell Exploits 9 Hours Before PHP Flaws Went Public — PPC Land