EN 30 SECONDES
- Que s’est-il passé ? Le Fondation PHP a confirmé une faille critique nommée PHP2Shell et enregistrée avec deux identifiants, CVE-2026-109618 et CVE-2026-109619, capable de donner à un attaquant le contrôle de n’importe quel site Web construit sur PHP. Le patch est publié ce jeudi 22 octobre après deux mois de travail sous embargo.
- Qui est derrière ? L’équipe qui maintient le langage, une société de sécurité américaine qui a utilisé l’un des modèles de OpenAI pour localiser la fissure et l’entreprise garde-chaînequi a divulgué la nouvelle quelques heures avant l’annonce.
- Quel impact cela a-t-il ? PHP alimente jusqu’à 70 % des sites Web dans le monde, notamment ceux du commerce électronique, des banques et des services publics. En Espagne, l’exposition concerne les PME, les boutiques en ligne et les portails d’administration qui n’ont pas appliqué la mise à jour.
La vulnérabilité PHP2Shell, trouvée grâce à l’intelligence artificielle, expose 70 % du Web mondial au contrôle à distance par un attaquant.
Qu’est-ce que PHP2Shell et pourquoi le bug était en sommeil depuis une décennie
Le langage PHP est le moteur de programmation qui supporte une bonne partie d’Internet : jusqu’à 70% des sites web de la planète, selon les calculs gérés par le Fondation PHP et qui a été rapporté par le Wall Street Journal. Ce mercredi, l’organisation à but non lucratif qui l’entretient a confirmé ce qui circulait depuis des semaines dans les forums fermés : une vulnérabilité critique, nommée PHP2Shell et enregistré sous les noms CVE-2026-109618 et CVE-2026-109619, ce qui permettrait à un attaquant de prendre le contrôle de n’importe quel site Web construit sur ce logiciel.
L’histoire a un rebondissement. Un chercheur en sécurité avait déjà signalé cette faille il y a plusieurs décennies, mais la communauté l’avait alors écartée car son exploitation semblait trop complexe. L’erreur était enfouie dans le code. À cela s’ajoute un détail inconfortable : le bug le plus grave auquel PHP ait été confronté depuis plus d’une décennie Personne ne l’a trouvé.
Une machine l’a trouvé. Une entreprise de sécurité américaine a utilisé l’un des modèles de OpenAI pour passer au peigne fin le code source et localiser la fissure. Les chercheurs le décrivent comme la faille de sécurité la plus grave jamais détectée par l’intelligence artificielle. C’est là tout le paradoxe : le même outil qui nous a permis de le trouver sert à construire le exploiter. Ce qui aurait pris des mois à un analyste humain pour auditer, prend un après-midi à un modèle formé.
La fuite Chainguard et une course aux 10 000 lignes de code
Depuis août, un petit groupe de développeurs travaille en silence. Environ 200 fichiers modifiés. Plus de 10 000 lignes de code écrites contre la montre fermer la porte avant le jeudi 22 octobre. Le plan était chirurgical : patch en main pour les distributeurs, avis coordonné et publication simultanée.
Le calendrier s’est rompu mardi. garde-chaînel’un des distributeurs qui avait reçu le patch à l’avance afin que ses clients puissent le mettre à jour dans le deuxième zéro, a annoncé la nouvelle. « N’importe quel attaquant pouvait désormais étudier la correction au format binaire alors que le reste des utilisateurs de PHP attendaient toujours la publication », a déploré la fondation, qui a parlé de mépris pour des semaines de travail d’autrui. L’avertissement au monde est arrivé mercredi. La mise à jour, ce jeudi.
Un bug caché aux yeux des humains pendant une décennie a été découvert par une machine en un après-midi. Cette machine est désormais accessible à tous.
Logique de Washington
Cette décision importe à Washington pour une raison très précise. PHP n’est le produit d’aucune entreprise : c’est un logiciel libre qui prend en charge les infrastructures critiques – banques, soins de santé, administrations, chaînes d’approvisionnement – et est maintenu par une poignée de bénévoles avec des budgets d’ONG. Cette inadéquation entre le risque systémique et les ressources disponibles Cette question est sur la table depuis une décennie.
Le précédent le plus clair est Log4Shell, le crack découvert en décembre 2021 dans une bibliothèque Java dont presque personne ne connaissait l’existence et qui a obligé à improviser des correctifs dans la moitié du monde. De cet épisode sont nés le Cybersecurity Review Board (l’organisme créé par le gouvernement fédéral pour auditer les défaillances massives) et une batterie de lignes directrices du NIST sur la chaîne d’approvisionnement des logiciels.
La logique de la Maison Blanche dans ce domaine est mitigée : pressions indirectes sur le secteur et exigences directes sur ses propres fournisseurs. Au lieu de légiférer sur ce qui devrait arriver avec l’open source, l’agence de cybersécurité du ministère de la Sécurité intérieure publie des guides, finance des audits de projets critiques et exige de ses sous-traitants qu’ils garantissent la maintenance. La doctrine a survécu aux administrations des deux partis pour une raison simple : elle n’oppose personne les uns aux autres. Ni à une industrie qui ne veut pas de frais de responsabilité juridique, ni à un contribuable qui ne veut pas payer deux fois pour le même programme.
L’atterrissage en Espagne est direct. Une bonne partie des sites Web d’entreprise des PME, des plateformes de commerce électronique et de gestion fonctionnent sur PHP, tout comme une grande partie des gestionnaires de contenu qui les alimentent. Il INCIBÉ et le CCN-CERT sont les organismes appelés à émettre des alertes internes, et la fenêtre d’exposition réelle se mesure en heures.
À cela s’ajoute le problème de réputation des fournisseurs de hébergementqui devront expliquer à leurs clients pourquoi ils n’ont pas appliqué le patch alors qu’il était disponible. La projection est également inconfortable : les catalogues de vulnérabilités du NIST mettront du temps à refléter toute l’étendue, et les délais que la CISA impose aux agences fédérales pour les failles critiques se comptent en jours et non en mois.
Dossier
- Le cas : En août, un modèle OpenAI a localisé une fissure dans PHP, le langage qui sous-tend jusqu’à 70 % du Web. La Fondation PHP a coordonné un patch massif publié ce jeudi après une fuite.
- Données clés : CVE-2026-109618 et CVE-2026-109619 ; près de 200 fichiers modifiés et plus de 10 000 lignes de code ; publication prévue pour le 22 octobre 2026 ; La panne était détectée depuis des décennies mais a été exclue en raison de sa complexité.
- Pour l’Espagne : Les PME, le commerce électronique et les portails publics qui fonctionnent sur PHP doivent appliquer la mise à jour immédiatement et examiner les enregistrements ; INCIBE et CCN-CERT sont la référence en matière d’alertes officielles.
