PHP2Shell : des failles critiques repérées grâce à l’IA poussent des milliers de sites à se déconnecter

Des sites gouvernementaux, des boutiques en ligne, des ports et des hôpitaux : mercredi 21 octobre, des milliers de sites, en Europe et ailleurs, ont été volontairement débranchés. En cause, une faille critique dans PHP, comme le rapporte RFI, le langage de programmation qui permet à un site de dialoguer avec le serveur et les bases de données qui l’alimentent. Ce qui frappe le plus les spécialistes n’est pourtant pas seulement la gravité du problème, mais son mode de découverte : des chercheurs assistés par des modèles d’intelligence artificielle l’ont repéré avant que des pirates ne s’en emparent.

Deux failles, un surnom : PHP2Shell

Les vulnérabilités portent les identifiants CVE-2026-109618 et CVE-2026-109619 et ont été regroupées sous le nom de « PHP2Shell ». Selon l’analyse publiée par la société de cybersécurité Wiz, elles touchent toutes les versions de PHP sorties depuis une dizaine d’années, jusqu’à la version 5.4. Il s’agit de défauts de gestion de la mémoire au cœur du moteur du langage : en envoyant une requête spécialement conçue, un attaquant peut, sans aucun identifiant, exécuter son propre code sur le serveur visé. Wiz indique avoir démontré cette prise de contrôle sur des sites bâtis avec WordPress, Drupal et Joomla, trois des outils de création de sites les plus répandus.

L’entreprise estime que PHP fait tourner environ 70 % des sites web dans le monde, un chiffre largement repris mais qui reste une estimation : tous ces sites ne sont pas forcément exploitables de la même manière.

Des sites coupés par précaution

Le 21 octobre, l’équipe de développement de PHP a publié des mises à jour d’urgence pour les quatre branches encore maintenues, comme le détaille le site spécialisé Help Net Security. Son avis de sécurité est sans ambiguïté : il n’existe pas de parade complète, la mise à jour est la seule option sûre. Dans la foulée, l’agence américaine NSA et le Centre national britannique de cybersécurité ont recommandé aux sites concernés de se déconnecter tant que le correctif n’était pas installé.

Aux Pays-Bas, la réaction a été particulièrement visible. D’après Euronews, le système d’identité numérique DigiD, le portail gouvernemental et le site de la chambre basse du Parlement ont été mis hors ligne, tout comme ceux du port de Rotterdam, d’hôpitaux et des principaux partis politiques. Le calendrier a aussi été bousculé : les identifiants des failles ont fuité sur des forums la veille de l’annonce officielle, ce qui a conduit les responsables de PHP à avancer leur publication d’un jour.

Trois équipes, une même méthode

Selon le magazine Fortune, trois acteurs ont mis au jour différents éléments du problème, tous avec l’aide de l’IA : la société californienne Calif, spécialisée dans les tests d’intrusion, qui a été la première sur la piste, Wiz, filiale de Google, et OpenAI, dont un modèle a contribué à la découverte. OpenAI a ensuite réuni chercheurs, mainteneurs de PHP et prestataires de sécurité pour préparer le correctif avant la divulgation publique. D’après CNN, les failles avaient été identifiées dès la fin de l’été, mais n’ont été rendues publiques qu’une fois la parade prête.

La nuance est importante : ce n’est pas une IA agissant seule qui a « découvert » la faille, mais des équipes humaines dont le travail a été considérablement accéléré par ces outils. Les chercheurs de Wiz expliquent que les défauts existaient depuis des années, mais que démontrer leur exploitation exigeait un enchaînement d’étapes si complexe qu’il touchait aux limites de ce qu’un humain peut raisonnablement accomplir. Les modèles d’IA de pointe ont abaissé cette barrière. Wiz y voit un « tournant » pour la sécurité informatique.

Une course de vitesse entre défenseurs et pirates

C’est précisément ce qui inquiète. Si l’IA permet aux défenseurs de trouver des failles anciennes et profondément enfouies, elle peut offrir le même avantage aux attaquants. Les spécialistes préviennent que d’autres vulnérabilités de ce type pourraient être découvertes dans des logiciels fondamentaux d’Internet, et que la fenêtre entre la publication d’un correctif et son exploitation risque de se réduire. Notre lettre consacrée aux cyberattaques menées par des agents pour quelques dizaines de dollars montrait déjà combien l’automatisation fait chuter le coût d’une intrusion.

Ce qu’il faut faire

Pour les responsables de sites, la consigne est simple : passer sans attendre aux versions corrigées publiées le 21 octobre (8.5.12, 8.4.27, 8.3.36 ou 8.2.35), y compris chez les hébergeurs et prestataires, car de nombreux services s’appuient sur PHP sans que leurs clients le sachent. Les sites fonctionnant sur d’anciennes versions qui ne sont plus maintenues doivent être migrés. Pour les internautes, aucune action particulière n’est requise, si ce n’est de faire preuve de vigilance face aux messages suspects dans les jours qui viennent, et de patienter si un service habituel est momentanément inaccessible.

Pour approfondir dans notre réseau

• La lettre Intelligences #04 : chercheurs virtuels, finance opaque et cybermenaces
• Cybersécurité : comprendre et contrer les menaces numériques actuelles
• Pourquoi l’intelligence artificielle pourrait fragiliser la méthode scientifique elle-même