La société de sécurité Wiz Research a révélé un ensemble de vulnérabilités critiques dans le moteur PHP principal le 21 octobre 2026, avertissant que les failles – collectivement baptisées PHP2Shell – permettent l'exécution de code à distance non authentifié et la divulgation de la mémoire de type Heartbleed sur le logiciel qui alimente environ 70 % de tous les sites Web. Le projet PHP a publié des correctifs le même jour et Wiz recommande des mises à jour immédiates sur l'énorme base installée du Web.
PHP est l'épine dorsale d'une grande partie d'Internet : il alimente WordPress, Joomla, Drupal et MediaWiki, le logiciel qui exécute Wikipédia. Surtout, les bogues récemment révélés résident dans le moteur principal de PHP, et non dans aucune application construite dessus, ce qui signifie que les sites peuvent être exposés même lorsque leur propre code d'application est sécurisé. Pour plus de contexte sur cette histoire, consultez notre tendances IA.
Quelles sont les vulnérabilités
Selon la rédaction technique de Wiz rédigée par les chercheurs Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz, tous les bugs révélés sont des problèmes de sécurité de la mémoire liés à la manière dont PHP gère les erreurs fatales lors du traitement des requêtes, en particulier les erreurs de mémoire insuffisante. Une requête en panne peut laisser derrière elle un état PHP interne corrompu, et une requête ou un travailleur ultérieur qui réutilise cet état obsolète peut déclencher une divulgation ou une corruption de la mémoire.
Les résultats ont été regroupés sous deux CVE avec une gravité maximale de CVSS 9.2 :
- CVE-2026-109618 — un outil de désérialisation de la progression du téléchargement après libération qu'un attaquant peut exploiter pour la divulgation de la mémoire du processus à distance et, dans des chaînes démontrées, l'exécution complète de code à distance. Wiz a démontré la divulgation non authentifiée de la mémoire de travail PHP et le RCE de pré-authentification sur WordPress, Drupal et Joomla.
- CVE-2026-109619 — une erreur fatale de traçage après utilisation combinée à une confusion de type OPcache, également démontrée pour permettre l'exécution de code à distance de pré-authentification sur Drupal et WordPress.
La mémoire que les attaquants peuvent lire peut contenir des mots de passe, des jetons d'authentification, des clés API et des certificats appartenant à d'autres requêtes ou au serveur lui-même, a expliqué Wiz. Chaque version de PHP publiée au cours de la dernière décennie – depuis PHP 5.4 – est affectée par au moins une des vulnérabilités, et la société affirme que celles-ci comptent parmi les failles les plus graves jamais trouvées dans PHP.
Où l'IA entre en jeu
L'affirmation la plus importante du rapport de Wiz ne concerne pas du tout PHP, mais plutôt ce que les modèles d'IA de pointe ont fait pour exploiter le développement.
Les failles sous-jacentes, écrit Wiz, étaient présentes depuis des décennies, mais prouver l'exploitabilité nécessitait « une chaîne d'étapes exceptionnellement complexe, à la limite de ce que les chercheurs humains pouvaient pratiquement réaliser ». L'exploit devait enchaîner plusieurs failles et s'adapter à la disposition de la mémoire de chaque cible grâce à des tests et un débogage répétés.
Selon la société, les modèles Frontier AI ont considérablement réduit cet obstacle – « transformant une faille de longue date en exploit » – et ont permis à l'équipe de Wiz de développer et d'adapter des exploits fonctionnels sur plusieurs applications en quelques heures plutôt qu'en quelques semaines.
"À mesure que le temps et l'expertise requis pour ce travail diminuent, la complexité peut ne plus constituer un obstacle significatif, modifiant ainsi la façon dont nous définissons ce qui est vulnérable dans la pratique", ont écrit les chercheurs.
Un tournant dans l’ère de l’IA ?
Wiz présente explicitement PHP2Shell aux côtés de deux moments décisifs antérieurs dans le domaine de la sécurité Web : Heartbleed en 2014, qui a révélé la fragilité de l'infrastructure partagée sécurisant Internet, et Log4Shell en 2021, qui a révélé à quel point les dépendances logicielles profondément intégrées créent une exposition généralisée. La société affirme que PHP2Shell pourrait marquer un tournant similaire – illustrant cette fois comment l’IA modifie l’exploitabilité pratique de faiblesses connues de longue date.
Ce cadrage compte au-delà de PHP. Des vulnérabilités théoriques qui étaient hors de portée en toute sécurité parce que leur exploitation était trop difficile, trop lente ou trop spécialisée peuvent désormais être à la portée d'attaquants disposant de ressources suffisantes et armés d'outils d'IA – un changement avec des implications évidentes sur les budgets de défense, la cadence des correctifs et les délais de divulgation dans l'ensemble de l'industrie du logiciel.
Une solution coordonnée intersectorielle
La divulgation a été coordonnée. Wiz a remercié l'équipe PHP et OpenAI pour leur travail sur la découverte, la coordination et la vérification des correctifs, notant qu'OpenAI et PHP ont publié leurs propres rapports techniques sur l'historique de la vulnérabilité et le processus de divulgation.
Un groupe intersectoriel, comprenant Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft et Vercel, a préparé des conseils et des mesures d'atténuation prêtes à l'emploi pour les clients qui ne peuvent pas appliquer les correctifs immédiatement. Cloudflare a annoncé séparément le 21 octobre avoir déployé des protections WAF contre les vulnérabilités PHP pour ses clients.
Ce que les propriétaires de sites devraient faire
Le conseil de Wiz est direct : appliquez un patch immédiatement. Le projet PHP a publié des correctifs pour les vulnérabilités de sécurité de la mémoire le 21 octobre 2026, et chaque déploiement PHP pris en charge devrait être mis à jour dès que possible.
Les organisations qui ne peuvent pas appliquer les correctifs immédiatement doivent appliquer les mesures d'atténuation publiées par leurs fournisseurs de CDN, d'hébergement ou de WAF, dont plusieurs ont fourni des règles ciblant les chaînes d'exploits dès le premier jour. Les administrateurs des flottes WordPress, Drupal et Joomla devraient traiter cela comme un cycle de correctifs prioritaire : Wiz a démontré l'exécution de code à distance de pré-authentification sur les trois plates-formes, et les chemins de code vulnérables existent quel que soit le niveau de maintenance des applications situées au-dessus d'elles.
La leçon la plus profonde est peut-être celle que Wiz lui-même a tirée : lorsque l'IA peut compresser des mois d'ingénierie d'exploits en heures, la définition pratique de l'industrie de "pratiquement exploitable" - et avec elle, la signification des délais de mise à jour responsables - vient de changer.
---
Restez à la Pointe de l'IALes dernières actualités, analyses et percées en IA — au même endroit.
Lire plus d'actualités IA →
