« PHP2Shell » : deux failles critiques exposent 70 % du web, Wikipédia et des hôpitaux touchés

Deux vulnérabilités critiques découvertes dans le code source du langage PHP ont provoqué, à la fin du mois d'octobre 2026, l'une des alertes de cybersécurité les plus larges de l'année. Cataloguées CVE-2026-109618 et CVE-2026-109619, ces failles permettent à un attaquant d'exécuter du code à distance sur un serveur exposé sur internet, sans authentification ni interaction de la victime. Or PHP fait tourner environ 70 % des sites web accessibles publiquement dans le monde, des blogs WordPress aux pages Wikipédia en passant par des portails bancaires.

Une découverte remontant à 2024, exploitée en 2026

Selon les informations rapportées par le site spécialisé TechCrunch, les deux failles avaient été repérées dès 2024 lors d'un audit du code source de PHP, mais jugées à l'époque difficilement exploitables et donc non corrigées. C'est l'équipe de chercheurs en sécurité Calif qui a trouvé, au début de l'année 2026, le moyen concret de les exploiter, dans le cadre de l'initiative « Hack the Planet » menée conjointement par OpenAI et la société de cybersécurité Wiz, qui a vérifié leurs preuves de concept. Les chercheurs ont rapidement prévenu les mainteneurs du langage.

La PHP Foundation, organisation qui supervise le développement du langage, a alors engagé une divulgation coordonnée sous embargo, donnant un accès anticipé aux correctifs aux grands hébergeurs et entreprises technologiques avant la publication publique. Amazon affirme toutefois avoir détecté des traces d'exploitation dès le 17 octobre 2026, soit plusieurs jours avant la sortie officielle des correctifs, sans savoir comment l'attaquant avait eu connaissance des failles.

Correctifs publiés le 21 octobre, vague d'exploitation dans la foulée

Les correctifs ont finalement été diffusés par la PHP Foundation le mercredi 21 octobre 2026, avec quelques heures d'avance sur le calendrier initial selon la fondation. Dans la foulée, l'agence canadienne de cybersécurité a publié une alerte officielle (AL26-026), et plusieurs gouvernements ont demandé à leurs administrations et opérateurs d'infrastructures critiques de mettre leurs systèmes à jour sans délai.

Le patron de Cloudflare, Matthew Prince, a fait état d'une hausse exponentielle des tentatives d'exploitation observées sur son réseau dès l'annonce des correctifs, un phénomène classique lorsqu'une faille critique devient publique, les attaquants cherchant à exploiter les serveurs n'ayant pas encore appliqué les correctifs. Dès le vendredi 23 octobre, les équipes de Palo Alto Networks (division Unit 42) et de la société d'audit Trail of Bits ont confirmé avoir identifié des compromissions réelles et des activités malveillantes postérieures à l'exploitation sur des systèmes touchés.

Wikipédia, hôpitaux, banques : une surface d'attaque immense

L'ampleur de la faille tient à l'omniprésence de PHP dans l'infrastructure du web. Au-delà des grands systèmes de gestion de contenu comme WordPress, Drupal et Joomla, le langage fait aussi tourner MediaWiki, le logiciel derrière Wikipédia, ainsi que de nombreux outils de développement, paquets en ligne de commande, et composants embarqués dans des routeurs, dispositifs de stockage, pare-feux et VPN.

Par précaution, des banques, des sites de commerce en ligne, des plateformes de jeux, des hôpitaux et certaines administrations ont choisi de déconnecter temporairement leurs serveurs exposés, le temps d'appliquer les correctifs. En Belgique, la plateforme éducative Smartschool, utilisée par de nombreux établissements scolaires, a ainsi été coupée pendant plusieurs heures.

« Aucun modèle ne peut simplement déterrer toutes les failles »

Si l'intelligence artificielle a joué un rôle dans la découverte de l'exploitabilité des deux failles, les chercheurs de Calif tempèrent son importance : « Aucun modèle n'est aujourd'hui simplement capable de déterrer 'toutes les failles' avec de simples instructions. Du moins pour l'instant », ont-ils écrit, soulignant que l'essentiel du travail a reposé sur leur expertise humaine plutôt que sur l'automatisation.

Les experts notent par ailleurs que l'exploitation de ces failles demande un travail technique conséquent, ce qui explique l'absence, à ce stade, d'attaques massives et automatisées. Ils préviennent cependant que les petites équipes informatiques et les systèmes anciens risquent d'appliquer les correctifs plus tardivement, les exposant plus longtemps. Selon des chiffres cités dans la couverture de l'affaire, environ 75 % des vulnérabilités activement exploitées dans le monde reposeraient sur des failles liées à la gestion de la mémoire, une catégorie à laquelle appartiennent les deux bugs découverts dans PHP.

Ce qui reste incertain

L'ampleur exacte des compromissions à l'échelle mondiale n'est pas encore connue avec précision, et la liste complète des organisations touchées n'a pas été rendue publique. Le calendrier précis entre la découverte initiale de 2024 et sa confirmation comme exploitable en 2026 varie légèrement selon les sources consultées.