PHP corrige des vulnérabilités critiques PHP2Shell détectées par l'IA et touchant des millions de sites

OpenAI indique que des recherches en sécurité assistées par l'IA ont permis de les identifier

Les responsables de la maintenance de PHP ont publié des correctifs d'urgence pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, connues sous le nom collectif de « PHP2Shell ». Toutes deux sont classées à 9,2 sur 10 en termes de gravité et pourraient permettre l'exécution de code à distance sur des serveurs web vulnérables. Ces failles affectent PHP lui-même, qui alimente environ 70 % des sites web dans le monde, y compris des plateformes majeures telles que WordPress, Drupal et Joomla. Selon les chercheurs, le code vulnérable remonte à plus d'une décennie, et environ 1,3 million d'hôtes connectés à Internet seraient potentiellement exposés. PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre. OpenAI a également indiqué que des recherches en matière de sécurité menées avec l'aide de l'IA avaient permis d'identifier ces vulnérabilités.

PHP est un langage de script polyvalent destiné au développement web. Il a été créé par le programmeur dano-canadien Rasmus Lerdorf en 1993 et publié en 1995. L'implémentation de référence de PHP est désormais développée par le PHP Group. À l’origine, PHP était l’abréviation de « Personal Home Page », mais il désigne désormais l’acronyme récursif « PHP : Hypertext Preprocessor ». Le code PHP est généralement traité sur un serveur web par un interpréteur PHP implémenté sous la forme d’un module, d’un démon ou d’un exécutable CGI (Common Gateway Interface).

Récemment, l'équipe PHP a émis une alerte urgente concernant deux failles de sécurité critiques qui menacent des millions de sites Web dans le monde. Elles sont répertoriées sous les noms de CVE-2026-109618 et CVE-2026-109619, et évaluées à 9,2 sur 10 sur l'échelle de gravité. Une source a présenté un outil d'exploitation appelé PHP2Shell permettant d'exécuter du code à distance sur des serveurs vulnérables. Face à la menace de cyberattaques massives imminentes, les administrateurs sont invités à appliquer les correctifs en urgence. Un pan d'Internet est paralysé et les administrations publiques françaises ont mis leurs sites hors ligne par mesure de précaution.

Dans ce contexte, les responsables de la maintenance de PHP ont publié des correctifs d'urgence pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, connues sous le nom collectif de « PHP2Shell ». Toutes deux sont classées à 9,2 sur 10 en termes de gravité et pourraient permettre l'exécution de code à distance sur des serveurs web vulnérables. Ces failles affectent PHP lui-même, qui alimente environ 70 % des sites web dans le monde, y compris des plateformes majeures telles que WordPress, Drupal et Joomla.


Bien que tous les sites web fonctionnant sous PHP ne soient pas nécessairement vulnérables, l’impact potentiel est considérable. Ces problèmes concernent la sécurité de la mémoire, notamment la gestion des situations de mémoire insuffisante et la gestion de l’état interne entre les requêtes. Une exploitation réussie pourrait permettre à des attaquants d’exécuter des commandes non autorisées, de voler des informations sensibles, de compromettre des applications ou de prendre le contrôle des serveurs affectés.

Selon les chercheurs, le code vulnérable remonte à plus d’une décennie, et environ 1,3 million d’hôtes connectés à Internet seraient potentiellement exposés. PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre. L’exposition dépend de la version de PHP et de la configuration du serveur, notamment dans les déploiements utilisant PHP-FPM, Apache mod_php, php-cgi, FrankenPHP et LiteSpeed. PHP 8.1 et les versions antérieures ne sont plus officiellement prises en charge, bien que certains éditeurs puissent proposer des correctifs rétroportés.

OpenAI a également indiqué que des recherches en matière de sécurité menées avec l'aide de l'IA avaient permis d'identifier ces vulnérabilités, de développer des exploits fonctionnels et de vérifier les correctifs dans le cadre d'un processus de divulgation coordonné. Il est conseillé aux administrateurs d'identifier les installations PHP concernées, de préparer des sauvegardes et des fenêtres de maintenance, puis d'appliquer les mises à jour de sécurité officielles dès que possible.

En septembre 2026, des dirigeants de trois des plus grandes entreprises mondiales d’IA briefaient le Conseil de sécurité de l’ONU, soulignant que des systèmes d’IA de plus en plus puissants pouvaient bientôt s’améliorer d’eux-mêmes, échapper au contrôle humain et constituer une menace pour la sécurité internationale. « Si elle est mal gérée, je pense même que l’IA pourrait constituer un risque pour l’humanité dans son ensemble », déclarait Dario Amodei, PDG d’Anthropic. « Pour que l’IA soit démocratique, les décisions les plus importantes ne peuvent pas être prises uniquement par des laboratoires de San Francisco. Elles doivent être élaborées dans le cadre de processus démocratiques et par des gouvernements responsables devant les citoyens qu’ils servent », déclarait Sam Altman, PDG d'OpenAI. Pourtant, les USA et la Chine, les deux acteurs dominants dans le développement de l’IA, restaient divisés sur la question.

Sources : PHP, sur GitHub ; OpenAI

Et vous ?

Pensez-vous que cette information est crédible ou pertinente ?
Quel est votre avis sur le sujet ?

Voir aussi :

Les cybercriminels exploitent rapidement une vulnérabilité d'injection d'arguments dans PHP-CGI, avec un niveau de gravité de 9.8, permettant l'exécution de code à distance

Des pirates ont trouvé un nouveau moyen d'introduire une porte dérobée sur les systèmes Windows en exploitant une vulnérabilité PHP critique qui permet l'exécution de code arbitraire à distance

L'ONU veut traiter l'IA avec la même urgence que le changement climatique : l'organisme voudrait instaurer une gouvernance mondiale de l'IA, pour en maximiser les avantages tout en minimisant les risques