Le manque de personnel et de financement explique la récente secousse de sécurité dans l'écosystème PHP. Le projet ne compte qu'un seul employé à temps plein et ce n'est que la partie visible de l'iceberg

Pendant de nombreuses années, de graves failles sont passées inaperçues dans l’univers technologique. Désormais, avec l’avènement de l’intelligence artificielle, elles sont mises au jour dans un volume et à une fréquence qui submergent les équipes en charge des revues de code. Le projet open source PHP, qui propulse environ 70 % du web mondial, ne fait pas exception et c’est en cela que se trouve l’explication de la récente secousse de sécurité qui l’a affecté.

Des failles comme PHP2Shell étaient présentes dans le code de manière latente depuis plus de 10 ans. Des chercheurs en sécurité aidés de modèles d'intelligence artificielle avancés ont réussi à automatiser la découverte et le chaînage d'erreurs logicielles complexes en seulement quelques jours. Face à cela, les équipes de maintenance open source, manquant de bras (la fondation PHP s’appuie sur un seul employé à temps plein et 14 collaborateurs à temps partiel), n'ont pas les ressources pour réaliser des audits proactifs réguliers d'une telle intensité.

C’est en droite ligne avec cet état de choses que la Fondation PHP (par la voix de sa directrice exécutive – Elisabeth Barron) a ouvertement admis un échec structurel dû au manque de ressources. Initialement signalées par un développeur dès 2024, les failles PHP2Shell n'ont pas été priorisées car les équipes manquaient de temps pour analyser la complexité théorique de son exploitation.
En effet, les vulnérabilités récentes de PHP ne sont pas de simples erreurs de logique applicative, mais des failles profondes liées à la gestion de la mémoire en langage C (le langage dans lequel l'interpréteur PHP est écrit).

Yesterday the PHP project released security updates addressing two critical "PHP2Shell" vulnerabilities. If your site is hosted on @wordpressdotcom, @WordPressVIP, @wpcloudofficial, @Pressable, @tumblr, or any Automattic infrastructure, you’re already protected. Managing PHP yourself? Here’s what to do: https://t.co/YWhXDWKYLV

— WordPress.com (@wordpressdotcom) October 22, 2026

Le cas PHP s'inscrit dans une longue lignée de crises de la chaîne d'approvisionnement logicielle

Cela s’est déjà vu par le passé avec la faille HeartBleed considérée comme l'une des pires ayant affecté Internet. Cette vulnérabilité de gestion de mémoire a exposé les clés de chiffrement mondiales. L'équipe OpenSSL ne disposait alors que de moins de 2000 $ de dons annuels et d'un seul développeur à plein temps. Cet événement a forcé la création de la Core Infrastructure Initiative par la Linux Foundation, prouvant qu'il faut une catastrophe mondiale pour déclencher le financement.

En 2021, Une faille critique a exposé des millions de serveurs. Le projet log4j (une bibliothèque de journalisation Java omniprésente dans les logiciels d'entreprise) était maintenu bénévolement par une poignée de personnes sur leur temps libre. Les géants de la Tech gagnaient des milliards en intégrant Log4j gratuitement, sans jamais reverser un centime ou du temps d'ingénieur pour sécuriser le code.

Plus récemment dans le cadre de l’affaire XZ Utils (un outil de compression de données intégré dans la quasi-totalité des distributions Linux), un seul mainteneur bénévole, épuisé psychologiquement, a cédé aux pressions d'un profil malveillant qui a infiltré le projet pour y injecter une porte dérobée. La controverse a porté sur la solitude des mainteneurs, cibles faciles pour des cyber-attaquants étatiques exploitant l'épuisement professionnel.

@gdb I never thought bugs could be in PHP. ChatGPT is cool

— Mia (@My1100101) October 21, 2026

Quelles leçons la filière IT dans son ensemble a-t-elle à tirer ?

Les experts et agences de sécurité (comme la CISA ou l'Anssi) s'accordent sur plusieurs transformations urgentes à mener :

• Les entreprises privées et les gouvernements ne peuvent plus consommer l'open source de manière purement opportuniste. Financer des entités comme la PHP Foundation ou participer à des programmes de subventions (comme le Sovereign Tech Fund) doit devenir un investissement de sécurité obligatoire, et non une action de charité optionnelle.
• L'incident montre que l'IA (comme GPT-5.6 Sol ou Claude Mythos utilisés pour l'audit de PHP) accélère de manière spectaculaire la découverte des failles cachées. Si la filière n'embauche pas de vrais humains pour corriger le code au même rythme, les cybercriminels utiliseront les mêmes IA pour automatiser les attaques.
• Les experts rappellent que trouver une faille n'est qu'une étape ; concevoir et déployer un correctif sans tout casser requiert un investissement financier durable. Des initiatives comme l'agence publique allemande Sovereign Tech Fund doivent être généralisées à l'échelle internationale.
• Avec l'entrée en vigueur de réglementations strictes comme le Cyber Resilience Act (CRA) en Europe, l'industrie IT ne pourra plus simplement consommer du code open-source sans auditer sa provenance et assumer la responsabilité légale de son cycle de vie.

Et vous ?

Quels changements pensez-vous qu’il soit nécessaire d’introduire dans l’écosystème open source pour éviter ce genre de cas ?

Voir aussi :

Indice TIOBE d'octobre 2026 : le langage Julia, conçu pour le calcul scientifique et numérique, signe un retour remarqué dans le top 20, Rust s'accroche à la 10e place, tandis que R passe devant SQL

L'environnement de développement intégré Apache NetBeans 31 est disponible et ajoute la prise en charge des modules Java et de PHP 8.4

Le CMS PHP libre et open source Drupal 11.3 est disponible et offre la plus grande amélioration de performances depuis dix ans, le format natif HTMX et un module de navigation stable