Qu'est-ce que PHP2Shell ? La faille de sécurité majeure révélée par l'IA
Le 21 octobre 2026 marque un tournant majeur dans le monde de la cybersécurité. Wiz Research et l'équipe PHP ont rendu publique la découverte d'un groupe de vulnérabilités critiques baptisé PHP2Shell. Registrées sous les identifiants CVE-2026-109618 et CVE-2026-109619, ces failles affichent un score de gravité quasi maximal de 9.2. Elles permettent à un attaquant d'exécuter du code à distance sans aucune authentification requise.
L'ampleur de la menace est colossale : jusqu'à 70 % des sites web dans le monde pourraient être impactés, toutes les versions de PHP publiées depuis dix ans (remontant jusqu'à la version 5.4) étant concernées.
Une vulnérabilité critique endormie depuis 14 ans
Selon des déclarations de Greg Brockman (OpenAI), le code vulnérable sommeillait au cœur du langage PHP depuis 14 ans. Bien qu'une version très limitée du problème ait été repérée en 2024 lors d'un audit de Quarkslab sans qu'elle ne soit jugée prioritaire à l'époque, la cause profonde n'avait jamais été pleinement mesurée.
Cette affaire démontre à quel point des failles d'infrastructure essentielles peuvent rester invisibles pendant plus d'une décennie dans le code open source le plus répandu au monde.
Dans La Minute IA by Syrine sur Express FM du 26 octobre 2026, Wassim Ben Larbi et Syrine reviennent sur cette actualité parmi les sujets abordés lors de leur rendez-vous quotidien. Après l’échange à l’antenne, MEDIANET présente plus de détails sur le sujet.
L'Intelligence Artificielle au cœur de la découverte
La véritable rupture de l'affaire PHP2Shell réside dans le rôle joué par l'intelligence artificielle générative. Wiz Research a mis à profit des modèles de pointe — notamment Gemini 4 Argon et GPT-5.6 Sol — dans le cadre de l'initiative Patch the Planet portée par OpenAI.
Gain de temps massif : Un seul chercheur assisté par l'IA a réalisé en une semaine un travail de recherche, d'analyse et de développement d'exploits qui aurait normalement exigé plusieurs mois à une équipe d'experts chevronnés.
Synergie homme-machine : Les chercheurs humains des cabinets Calif et Wiz ont utilisé l'IA pour émettre des hypothèses et les vérifier en boucle rapide. L'IA seule n'a pas tout fait, mais elle a servi d'accélérateur sans précédent.
Chronologie des événements : d'août à la fuite d'octobre 2026
14 août 2026 : Le cabinet Calif partage une première preuve de concept (PoC) avec l'équipe PHP, validée dès le lendemain.
19 - 20 août 2026 : Wiz découvre la vulnérabilité initiale et confirme la prise de contrôle à distance sur Drupal, puis sur WordPress.
14 octobre 2026 : Enregistrement suspect du nom de domaine php2shell.com par un tiers anonyme.
21 octobre 2026 : Une fuite sur Hacker News contraint l'équipe PHP à précipiter la diffusion des correctifs officiels.
Correctifs d'urgence et état des exploitations actives
L'urgence est maximale pour l'ensemble des administrateurs système et webmasters. Les versions sécurisées à déployer immédiatement sont :
PHP 8.2.35
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12
Selon Cloudflare et les serveurs-pièges (honeypots) de watchTowr, des attaques actives exploitant PHP2Shell ont été détectées avant même la publication officielle des patchs. Plusieurs infrastructures publiques, notamment des sites gouvernementaux au Canada, ont dû être déconnectées préventivement.
Pourquoi l'affaire PHP2Shell marque un tournant historique
Wiz compare la portée de PHP2Shell à des crises majeures telles que Heartbleed (2014) ou Log4Shell (2021). Comme le souligne Ami Luttwak, cofondateur de Wiz, il s'agit probablement de la vulnérabilité la plus grave jamais mise au jour à l'aide de l'IA.
Cependant, cette avancée met aussi en lumière une arme à double tranchant. Les cybercriminels disposent désormais des mêmes technologies d'IA pour analyser les correctifs publiés, pratiquer le reverse-engineering de la faille en quelques minutes et automatiser le ciblage des serveurs non mis à jour.
