PHP2Shell : Les failles critiques de PHP déclenchent une ruée mondiale de correctifs et des fermetures de sites

Le 21 octobre 2026, le projet PHP a publié des mises à jour d'urgence — versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — pour corriger deux failles critiques de sécurité que les chercheurs en sécurité et les fournisseurs ont surnommées « PHP2Shell », selon Help Net Security et le Centre canadien de la cybersécurité. Les failles, suivies sous les références CVE-2026-109618 et CVE-2026-109619, sont décrites comme des problèmes de sévérité critique ; les sources examinées pour cet article n'ont pas cité de score CVSS numérique officiel.

Ce que fait la vulnérabilité

Les deux failles sont des bugs de sécurité mémoire dans la manière dont PHP traite les demandes dans des conditions anormales, selon Bleeping Computer et Help Net Security. CVE-2026-109618 se produit lorsqu'une erreur de manque de mémoire interrompt PHP alors que les données de demande interne ne sont que partiellement configurées, de sorte que les routines de nettoyage ultérieures traitent ces données incomplètes comme valides. CVE-2026-109619 est une faille d'état obsolète : la mémoire liée à une demande peut être libérée puis réutilisée par une demande ultérieure sur le même processus avant qu'elle ne soit correctement réinitialisée, ce qui peut exposer des données ou permettre l'exécution de code.

Le Centre canadien de la cybersécurité a classé les deux comme des vulnérabilités use-after-free (CWE-416) et a déclaré qu'une attaque réussie permet à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur, sans avoir besoin d'un mot de passe ou d'une action de l'utilisateur. L'agence a indiqué que les déploiements mod_php font face au risque le plus élevé, puisqu'un exploit démontré peut déclencher le bug avant que tout code d'application ait une chance de s'exécuter — une description également utilisée par l'équipe de sécurité de PHP, selon le rapport de Bleeping Computer.

Le bug affecte toute installation de PHP qui traite les demandes web, y compris PHP-FPM, mod_php d'Apache, php-cgi, FrankenPHP et LiteSpeed, selon Bleeping Computer et l'avis canadien. Le code sous-jacent avait existé dans PHP pendant plus d'une décennie, selon Fortune, bien que des correctifs officiels aient été émis pour les branches 8.2–8.5 activement maintenues, avec des rétroports au niveau du code source disponibles pour 7.4 à 8.1, qui ont dépassé leurs dates de fin de support.

Comment elle a été découverte, et pourquoi l'IA est importante ici

Selon Fortune, le code défectueux avait existé dans PHP pendant plus d'une décennie, mais trois parties distinctes l'ont découvert en août 2026 : la société de sécurité Wiz, une entreprise appelée Calif, et OpenAI, travaillant avec la Fondation PHP sur un correctif et une divulgation coordonnés. Fortune a rapporté que Wiz a utilisé des modèles d'IA, y compris GPT-5.6 Sol d'OpenAI et Gemini 4 Argon de Google, pour aider à comprendre la faiblesse et la transformer en exploit fonctionnel. Wiz a déclaré à Fortune que le cas représentait un changement porté par l'IA, affirmant que tandis que le code vulnérable avait existé pendant plus d'une décennie, ce qui avait changé était la capacité des chercheurs à utiliser l'IA pour comprendre les faiblesses et les transformer en exploit fonctionnel.

Fortune a également rapporté qu'OpenAI, dans sa propre déclaration, a déclaré que l'épisode montrait comment l'IA peut aider à découvrir des failles de sécurité avec un impact à l'échelle d'Internet, tout en reconnaissant que les mêmes capacités d'IA peuvent également aider les attaquants à développer des outils et des exploits offensifs plus rapidement.

Tentatives d'exploitation et réponse rapide de Cloudflare

Cloudflare a déclaré sur son propre blog qu'il avait activé les règles du pare-feu d'application web à 03:02 UTC le 21 octobre, ce qu'il a décrit comme environ neuf heures avant que les vulnérabilités ne soient divulguées publiquement. L'entreprise a déployé sept « Règles génériques – Exécution anormale » pour les clients du niveau gratuit et un ensemble séparé de sept règles équivalentes pour les plans payants, plus une règle supplémentaire qui vérifie à la fois la demande et la réponse dans la même transaction, selon l'article de Cloudflare résumé par ppc.land. Le même article a indiqué que Cloudflare avait observé des attaquants modifiant leurs charges utiles d'exploit par la suite dans une tentative apparente de contourner les nouvelles règles, bien qu'il n'ait pas publié de chiffres exacts sur le volume d'attaques.

Séparément, l'équipe de renseignement sur les menaces d'Amazon a déclaré qu'elle avait détecté des tentatives d'exploitation contre les failles à partir du 17 octobre 2026 — quatre jours avant le correctif public — selon Bleeping Computer, suggérant que certains acteurs de menace avaient accès aux détails d'exploitation avant la divulgation générale. En contraste, l'avis du Centre canadien de la cybersécurité a déclaré que, au moment où il a été rédigé, il n'avait pas identifié d'exploitation active, tout en avertissant que la situation pourrait évoluer rapidement. Les deux évaluations reflètent des points d'observation et des calendriers différents plutôt qu'une contradiction factuelle.

Japon : le gouvernement presse les entreprises de corriger ou d'arrêter

La vulnérabilité a attiré une attention particulièrement intense au Japon. Le Bureau national de la cybersécurité du Japon, un organisme successeur du NISC réorganisé en juillet 2025, a émis un avis exhortant les opérateurs à vérifier si leurs sites web utilisent PHP et à agir rapidement, selon un rapport BigGo Finance sur la déclaration de l'agence. La première ministre Sanae Takaichi a posté sur X en l'appelant « une demande urgente pour que tout le monde réponde ce soir », et a déclaré que la suspension temporaire d'un site web pourrait être un moyen efficace de réduire les risques si un correctif immédiat n'était pas possible, selon le rapport de BigGo Finance.

Suivant ces directives, plusieurs services en ligne japonais sont entrés en maintenance d'urgence dans la nuit du 21 octobre, notamment la plateforme de gestion des garderies CoDMON, le jeu de cartes Shadowverse: Worlds Beyond, le constructeur de boutique en ligne BASE et le fournisseur d'hébergement Sakura Internet, selon le rapport BigGo Finance. Les correctifs officiels de PHP ont été publiés vers 22h40 heure du Japon, avant un objectif initialement annoncé de 23h, selon le même rapport.

Séparément, Internet Watch (Impress) a rapporté que le fournisseur de communications japonais Baltec avait suspendu environ 23 services — couvrant les outils cloud, de réservation, de point de vente et de gestion des dépenses — après avoir détecté un accès non autorisé avec exposition possible de données personnelles. Baltec avait initialement attribué l'incident à une cyberattaque ciblant une vulnérabilité PHP, mais l'entreprise a publié une correction le même jour en déclarant que la véritable cause était une vulnérabilité dans son propre service, et non la faille PHP, après avoir dit qu'elle avait confondu les deux problèmes lors de l'examen de ses mesures de sécurité liées à PHP. Baltec visait une restauration de service pour le 26 octobre, selon Internet Watch.

Ampleur de l'exposition

PHP alimente environ 70% des sites web dans le monde, y compris les sites WordPress, Wikipedia, Microsoft.com et Archive.org, selon Fortune, qui cite que environ 40% de tous les sites web fonctionnent sur WordPress, qui dépend lui-même de PHP. Fortune a également cité un balayage initial identifiant 22,6 millions d'instances potentiellement vulnérables de PHP exposées à Internet.

Ce qui reste inconnu

Selon les informations disponibles, aucune source ne confirme une violation majeure réussie directement causée par l'exploitation de PHP2Shell, par rapport aux fermetures préventives. Les chiffres sur les tentatives d'exploitation totales varient selon la source et la fenêtre de mesure : le PDG de Cloudflare a été cité dans la couverture japonaise via Yahoo! News comme décrivant que les comptages de tentatives passaient de milliers avant la divulgation à des dizaines de milliers en 45 minutes et atteignaient des centaines de milliers en deux heures, avec des totaux décrits comme atteignant les millions au moment de ce rapport ; l'article de blog de Cloudflare lui-même n'a pas répété ces chiffres spécifiques. Les lecteurs doivent traiter les nombres précis de volume d'attaque comme préliminaires et sujets à révision par les organisations qui les suivent.