PHP2Shell : deux failles critiques de PHP trouvées avec l’aide de l’IA

Ce que PHP corrige, et qui est concerné

Le 21 octobre 2026, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Titre de son avis de sécurité : « Critical remote code execution vulnerabilities, update now ».

PHP fait tourner 70 % des sites web, selon Wiz Research, qui a baptisé ces failles PHP2Shell. CVE-2026-109618 et CVE-2026-109619 permettent d’exécuter du code à distance sans authentification, c’est-à-dire de prendre la main sur le serveur sans avoir de compte. Il faut pour cela les bonnes conditions, précise la Fondation PHP.

• CVE-2026-109618 : une requête qui atteint la limite de mémoire au mauvais moment peut laisser des données à moitié prêtes, que PHP traite ensuite comme valides.
• CVE-2026-109619 : après une erreur fatale, un état interne peut survivre dans une mémoire déjà libérée, et une requête suivante traitée par le même processus peut s’en servir.

Tu es concerné si ton site tourne sur PHP : toute installation qui sert des pages web est visée. Wiz a pris la main sur les versions de WordPress, Drupal et Joomla les plus récentes au moment de ses tests. Même une page « Hello World » peut être vulnérable.

Comment l’IA a trouvé les failles

OpenAI le raconte sur sa page Patch the Planet : « Calif a identifié une faille critique avec GPT‑5.6 Sol dans le cadre de notre initiative Patch the Planet. Wiz a également découvert et signalé les deux vulnérabilités de façon indépendante. »

Wiz a travaillé avec Wiz Atlas, Gemini 4 Argon et GPT‑5.6 Sol. Selon ses chercheurs, l’IA a réduit l’effort nécessaire pour adapter l’attaque aux différentes versions de PHP. Calif et OpenAI ont signalé la cause du problème le 11 août, Wiz des vecteurs d’attaque le 24 août, d’après la Fondation PHP.

L’IA sert aussi la défense. La Fondation dit avoir scanné PHP plus tôt dans l’année avec Alpha-Omega et Claude Mythos d’Anthropic, et utiliser aussi Daybreak Red d’OpenAI pour valider signalements et exploits. Trouver va plus vite ; corriger reste un travail collectif.

Ce que ça change pour toi

Ce n’est pas WordPress qu’il faut mettre à jour, c’est PHP sur le serveur. Mettre à jour une application ne met pas à jour le PHP qui tourne dessous, rappelle PHP2Shell. D’après TechCrunch, qui résume un message de WordPress, la faille n’est pas propre à WordPress : les sites doivent corriger leurs serveurs.

• Ton site est chez un hébergeur : suis ses consignes, comme le recommande PHP2Shell.
• Un prestataire gère ton serveur : à lui de mettre PHP à jour, puis de redémarrer Apache, PHP-FPM et les processus PHP.
• Impossible de mettre à jour tout de suite : le CERT-EU conseille d’isoler d’Internet les ressources exposées, jusqu’à ce que le correctif soit appliqué.
• Ton site tourne sur PHP 8.1 ou plus ancien : le CERT-FR recommande de migrer vers une version maintenue. Et PHP 8.2 n’aura plus aucun correctif de sécurité après le 31 décembre 2026.

Ces découvertes devraient fortement augmenter, prévient OpenAI. Sache une fois pour toutes qui met à jour PHP sur ton site, et en combien de temps.

La nuance à garder

Une fuite avant l’heure. Le 20 octobre, les identifiants des failles ont commencé à circuler en ligne. La publication des correctifs a été avancée d’un jour, et Calif a publié une vidéo par erreur, selon la Fondation PHP.

Pas d’attaque confirmée. Selon le CERT-EU, de premières preuves de concept, des codes qui démontrent l’attaque, circulent déjà, ce qui rend une exploitation plus probable. Le CERT-EU ne confirme aucune attaque.

Les vieilles versions restent exposées. PHP 8.1 et avant ne reçoivent plus de mises à jour ; certaines distributions et éditeurs en rétroportent, et l’équipe PHP a publié des rétroportages minimaux en code source pour 7.4, 8.0 et 8.1, note le projet PHP.

Les mesures provisoires ne suffisent pas. Le CERT-FR cite des contournements provisoires, qu’il n’a pas qualifiés : désactiver une option de PHP, filtrer certaines requêtes avec un pare-feu applicatif. Pour le projet PHP, seule une mise à jour est une solution complète.

L’IA aide aussi l’autre camp. Ces capacités « peuvent aussi aider les attaquants à développer rapidement des outils offensifs et des exploits », reconnaît OpenAI.

Un vérificateur imparfait. L’outil d’OpenAI peut répondre UNKNOWN, ce qui ne veut pas dire corrigé. Il ne voit pas la version si le serveur la masque, et peut se tromper face à un correctif rétroporté par une distribution.