Le langage PHP, qui fait tourner environ 70 % des sites web, serait touché par deux vulnérabilités graves permettant l'exécution de code à distance. L'équipe de développement a annoncé le 20 octobre la publication de mises à jour urgentes destinées à corriger le problème.

Le score de gravité officiel des failles, calculé selon l'échelle CVSS v4.0, s'établit à 9,2. La société de cybersécurité watchTowr va plus loin en leur attribuant la note maximale de 10 sur 10. Les versions concernées et les détails techniques n'ont pas encore été rendus publics, mais des millions d'administrateurs systèmes sont déjà en état d'alerte.

Une découverte portée par l'intelligence artificielle

php1

Des erreurs de logique qui auraient pu passer inaperçues pendant des années lors d'audits manuels de code ont cette fois été repérées grâce à l'IA. L'équipe de recherche Calif a mis au jour les vulnérabilités à l'aide du modèle GPT-5.6 Sol d'OpenAI, tandis que Wiz, filiale de Google, les a confirmées de manière indépendante avec ses propres outils d'intelligence artificielle.

Selon le rapport de Wiz, transformer ces failles en armes d'attaque était auparavant un processus extrêmement laborieux. Les modèles d'IA ont considérablement accéléré l'analyse de code et la préparation de scénarios d'attaque, facilitant la conversion de bugs longtemps présents dans le code en outils d'attaque pratiques.

PHP2Shell et les plateformes concernées

Les vulnérabilités, référencées sous les identifiants CVE-2026-109618 et CVE-2026-109619, permettraient l'exécution de code à distance. D'après une capture d'écran d'un outil d'exploitation nommé « PHP2Shell », présent dans les documents divulgués, il serait possible d'exécuter du code sur les principales plateformes basées sur PHP. Les logiciels concernés sont : WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Symfony 8.1.9, Drupal 11.4.10 et WHMCS 9.0.9.

watchTowr affirme avoir confirmé la réalité des vulnérabilités et réussi à reproduire au moins l'une d'elles en laboratoire. De son côté, la société Sansec avertit qu'une première vague d'attaques majeures pourrait débuter dans les 15 minutes suivant la publication des correctifs, et appelle à agir rapidement.

Pourquoi PHP est-il si critique ?

p2

PHP est un langage de programmation qui prend en charge les traitements côté serveur d'une grande partie des sites que nous consultons. Il gère le trafic de données et la charge de calcul, en exécutant les processus complexes non pas sur l'appareil de l'utilisateur, mais sur des serveurs distants.

On estime que le langage est utilisé sur 70 % d'Internet. Sachant que des systèmes aussi répandus que WordPress reposent sur PHP, l'ampleur potentielle de la vulnérabilité découverte donne la mesure du risque.