Faille PHP critique : arrêts mondiaux et correctifs

Une vulnérabilité critique dans PHP, langage derrière près de 70 % des sites web, a provoqué des arrêts de services publics et des correctifs d'urgence. Les failles, baptisées PHP2Shell et suivies sous CVE-2026-109618 et CVE-2026-109619, sommeillaient depuis plus de dix ans. Elles permettent une exécution de code à distance non authentifiée, donnant à un attaquant le contrôle de serveurs sans accès préalable.

Qu'est-ce que PHP2Shell ?

PHP2Shell désigne deux vulnérabilités critiques du moteur PHP, non des applications hébergées. PHP équipant la plupart des systèmes et s'intégrant au HTML, les serveurs sont exploitables quel que soit le code du site. La PHP Foundation a publié les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre 2026, après des fuites, selon la BBC. Environ 70 % des sites seraient touchés, une estimation non vérifiée. Une seule faiblesse dans l'infrastructure web open source peut donc se propager mondialement.

Arrêts gouvernementaux mondiaux

Plusieurs gouvernements européens ont mis des services hors ligne par précaution. Le Guardian rapporte que des sites belges, néerlandais, finlandais, français et allemands ont été coupés, ainsi que des systèmes australiens et le service néerlandais d'identité numérique. La Finlande a fermé ses services publics ; les Pays-Bas, ceux de la santé et du parlement. Des sites britanniques et 32 services gouvernementaux ont été brièvement indisponibles. Wikimedia a affecté une partie de Wikipédia.

Ces retraits montrent que les agences de cybersécurité gouvernementale privilégient l'isolement à la disponibilité. Au Royaume-Uni, le NCSC a envoyé 50 000 alertes.

Correctifs d'urgence et avertissements officiels

La NSA américaine a recommandé un correctif critique, prévenant que les attaquants pourraient voler des données, perturber des services ou pénétrer les réseaux. Selon la NSA, les organisations incapables de corriger doivent isoler les systèmes. Le NCSC britannique a conseillé de rechercher des portes dérobées et qualifié l'ampleur d'sans précédent. CERT-EU a averti d'une exécution de code à distance non authentifiée ; des attaques sont apparues en quelques heures.

Les failles obtiennent 9,2/10 sur l'échelle CVSS. Les agences recommandent de recenser les versions vulnérables, de prioriser les correctifs et de remplacer les services PHP en fin de vie. Cela fait désormais partie des procédures de correctif PHP pour les infrastructures critiques.

Découverte par IA et course à l'exploitation

Des chercheurs de Wiz et Calif ont découvert les failles avec les outils Patch the Planet d'OpenAI, après un soupçon de défaut mémoire en 2024, confirmé en août 2026 via GPT-5.6 Sol et Gemini 4 Argon. Elles sont restées indétectées plus de dix ans. Cloudflare a enregistré des milliers de tentatives dix heures avant la divulgation ; en 45 minutes, des dizaines de milliers, puis des centaines de milliers après deux heures, et des millions le 22 octobre. Amazon Threat Intelligence a évoqué une exploitation largement observée.

Cette escalade montre que la découverte de vulnérabilités par IA réduit la fenêtre entre divulgation et exploitation, obligeant à réagir en minutes.

FAQ

Quelle est la faille PHP critique ?

Deux failles d'exécution de code à distance non authentifiée, PHP2Shell, CVE-2026-109618 et CVE-2026-109619, touchant près de 70 % des sites.

Quels pays ont coupé des sites gouvernementaux ?

Belgique, Pays-Bas, Finlande, France, Allemagne, Australie et Royaume-Uni ont coupé des services ou émis des consignes.

Comment corriger la faille PHP ?

Passez à PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Sinon, isolez les systèmes et surveillez les portes dérobées.

Pourquoi PHP2Shell est-elle si dangereuse ?

Elle permet d'exécuter du code sans authentification, avec risque de vol de données, d'interruption et d'intrusion.

L'IA a-t-elle servi à trouver la faille ?

Oui, Wiz et Calif ont utilisé Patch the Planet d'OpenAI ; elle est décrite comme la plus importante trouvée par IA.

Conclusion et perspectives

L'épisode PHP2Shell montre qu'une faille dans un logiciel open source très répandu peut perturber des services publics sur plusieurs continents et déclencher des correctifs d'urgence à l'échelle nationale. Les analystes craignent une longue traîne de sites non maintenus et vulnérables. Améliorer la sécurité des serveurs web et réduire la dépendance aux versions PHP non prises en charge sera essentiel.