C'est le cas de PHP2Shell, la faille qui menace sept sites Web sur dix

Deux vulnérabilités critiques dans le langage de programmation PHP, appelées collectivement PHP2Shell, menacent environ 70% de tous les sites Web dont le langage de script côté serveur est connu. Le projet PHP a publié des versions fixes mercredi, accompagnées d'un avis inhabituel indiquant qu'aucun ajustement de configuration n'offre une protection complète. Les utilisateurs doivent mettre à jour les dernières versions du langage pour sécuriser leurs systèmes, une tâche que de nombreuses organisations peuvent avoir du mal à effectuer rapidement. Ces failles permettent aux attaquants d'envoyer des requêtes à un serveur Web et d'exécuter du code arbitraire directement sur la machine hôte sans avoir besoin d'identifiants ou de mots de passe d'utilisateur valides.

Cette capacité accorde effectivement un accès à distance à la coque, permettant la compromission totale de l'infrastructure affectée. Les vulnérabilités affectent la gestion de la mémoire de base et les mécanismes de traitement des erreurs de PHP. La première faille, identifiée comme CVE-2026-109618, se produit lorsque l'interpréteur atteint sa limite de mémoire configurée lors du traitement de la demande. Lorsque cette limite est atteinte, PHP arrête brusquement l'exécution. Si cette interruption se produit pendant la construction des structures de données internes, celles-ci restent partiellement construites. Au cours de la phase de nettoyage suivante, le système traite ces structures incomplètes comme étant complètement formées.

Les attaquants peuvent déclencher cette condition en utilisant des requêtes avec des tailles non déclarées ou d'autres méthodes qui saturent le processus et corrompent la mémoire, conduisant à l'exécution de code malveillant. La deuxième vulnérabilité, CVE-2026-109619, exploite le fait que PHP réutilise souvent le même processus pour des requêtes successives. Si une erreur interrompt une requête à un moment précis, les données résiduelles, telles que les informations de session ou les états d'erreur, peuvent pointer vers une mémoire déjà libérée. La prochaine demande entrante utilise ces pointeurs obsolètes avant qu'ils ne soient correctement effacés. Avec une manipulation soigneuse de la mémoire, un attaquant peut tirer parti de cet état pour exécuter des commandes non autorisées.

2 sur 10, ce qui indique un risque grave. Bien que l'exploitation ne soit pas triviale et puisse nécessiter des milliers de tentatives pour réussir, l'impact potentiel permet une prise de contrôle complète du serveur, le vol de données et la déformation du site Web. Trois équipes indépendantes ont découvert les bugs entre fin juillet et août 2026. Les failles existaient dans la base de code PHP depuis plus d'une décennie. Les trois groupes ont utilisé des outils d'intelligence artificielle dans leur processus de découverte. Wiz, propriété de Google, a combiné ce modèle avec Gemini 4 Argon et un outil propriétaire. Selon Wiz, l'utilisation de l'IA a permis à un seul chercheur d'accomplir en une semaine ce qui aurait précédemment pris des mois pour une équipe spécialisée.

Les découvertes ont été gardées confidentielles pendant que l'équipe PHP développait des correctifs. Cependant, un message posté sur le forum Hacker News mardi a révélé l'existence des failles, forçant le projet PHP à avancer la publication des correctifs d'un jour. Les experts en sécurité ont averti que la situation est urgente car l'intelligence artificielle réduit considérablement le temps entre la découverte d'une vulnérabilité et le déploiement d'une attaque. Cloudflare a déclaré avoir détecté des tentatives précoces d'exploiter les faiblesses avant même que les correctifs officiels ne soient disponibles.

Dane Knecht, directeur de la technologie chez Cloudflare, a déclaré que la société observait les attaques émergentes et mettait à jour les stratégies d'atténuation à mesure que de nouveaux vecteurs d'attaque apparaissaient. Il est courant que de nombreuses applications, en particulier les logiciels d'entreprise, exécutent des versions plus anciennes et non prises en charge. Les agences gouvernementales et les grandes institutions ont réagi rapidement à la menace. L'Office fédéral allemand de la sécurité de l'information a émis un avertissement officiel sur la cybersécurité, classant le niveau de risque comme exceptionnellement élevé.

L'agence a conseillé aux opérateurs de déconnecter temporairement les serveurs d'Internet si un correctif immédiat n'était pas possible. Des avertissements similaires ont été émis par des autorités en Australie, au Japon et dans plusieurs pays européens. Certains sites Web gouvernementaux ont été mis hors ligne pour prévenir d'éventuelles violations. Par exemple, le site Web de la préfecture de police de Paris en France a été désactivé suite à la détection de la vulnérabilité critique. L'Université de Barcelone a fermé ses connexions Internet par mesure de précaution. La Fondation Wikimedia, qui exploite Wikipédia, a déclaré qu'elle avait retiré plusieurs systèmes jusqu'à ce qu'ils puissent être corrigés en toute sécurité.

La dépendance généralisée à l'égard de PHP rend la portée du problème vaste. Les principaux systèmes de gestion de contenu, y compris WordPress, Drupal, Joomla, Moodle et TYPO3, dépendent de la langue. Les experts estiment qu'entre 400 et 500 millions de sites Web dans le monde fonctionnent uniquement sur WordPress. D'autres plateformes populaires comme Magento utilisent également PHP. La Fondation PHP a exhorté tous les utilisateurs à mettre à jour immédiatement, soulignant que l'exécution de la version actuelle est impérative. La publication souligne le rôle croissant des outils automatisés dans la détection et l'exploitation de défauts logiciels complexes. Alors que les organisations se précipitent pour appliquer les mises à jour, la fenêtre d'exposition reste ouverte pour ceux qui ne peuvent pas agir instantanément.

L'incident sert de test pour voir à quelle vitesse les menaces modernes peuvent se propager à travers les technologies Web fondamentales.