PHP2Shell : deux failles critiques, les versions de PHP à installer

Le projet PHP a publié le 21 octobre quatre versions qui corrigent deux failles critiques d'exécution de code à distance, sans authentification. php.net demande de mettre à jour immédiatement.

Environ 70 % des sites web tournent sous PHP, selon Wiz et Cloudflare. Le défaut le plus ancien datait de 2024, et des chercheurs équipés de modèles d'IA en ont démontré l'exploitation en quelques semaines, sous le nom « PHP2Shell », repris par Wiz, la NSA, Cloudflare et la CISA.

Deux failles critiques dans PHP

Toutes deux s'exécutent sans compte ni mot de passe, notées 9,2 sur 10 en CVSS v4.0. Selon la PHP Foundation, la première (CVE-2026-109618) naît d'un dépassement de la limite mémoire au mauvais moment, la seconde (CVE-2026-109619) d'un état interne réutilisant la mémoire libérée d'une requête précédente.

Sont concernées toutes les installations PHP qui servent des requêtes web : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Le risque maximal va à mod_php, où une requête non authentifiée agit avant tout code applicatif, selon php.net. Wiz et Cloudflare parlent d'un code vulnérable depuis PHP 5.4, TechCrunch depuis PHP 5 : les sources ne s'accordent pas pour 5.0 à 5.3.

Un défaut de 2024 resté deux ans sans correctif

La première faille remonte à 2024, lors du premier audit de sécurité externe de PHP depuis des années, financé par la Sovereign Tech Agency et mené par Quarkslab. En corrigeant un rapport de Quarkslab, un développeur du cœur de PHP sous contrat avec la fondation repère les premiers signes du défaut ; une exploitation est théorisée, sans vecteur concret.

Le chantier a calé puis redémarré à plusieurs reprises pendant des mois, freiné par des approches concurrentes (compatibilité, déni de service, extensions tierces), des décisions par consensus, l'absence de démonstration d'exécution de code à distance et une équipe restreinte. Dans son billet, la PHP Foundation parle d'« un échec structurel, dû au processus de décision de l'équipe sécurité comme à son manque de ressources » (traduit de l'anglais).

Le déblocage vient de l'extérieur : le 11 août 2026, le chercheur Ryan A, de Calif, rapporte une exécution de code à distance de même cause racine, suivi d'un signalement indépendant d'OpenAI le même jour. Le correctif devient la priorité de l'équipe sécurité. Selon la chronologie de Wiz, PHP accuse réception et ouvre le correctif coordonné le 21 septembre.

Ce que l'IA a changé

Selon Wiz et la PHP Foundation, dont les billets du 21 octobre racontent ce volet, l'IA n'a pas créé le défaut : elle a rendu son exploitation rapide.

Wiz dit avoir employé Wiz Atlas, son agent de sécurité, Gemini 4 Argon de Google et GPT-5.6 Sol d'OpenAI, avec une contribution décisive de Gemini 4 Argon à la découverte comme aux démonstrations. D'où la conclusion de Wiz : « Avec des modèles d'IA de pointe et les bons outils, un chercheur seul a accompli en une semaine ce qui aurait demandé des mois à une équipe de premier plan » (traduit de l'anglais).

La fondation crédite l'équipe OpenAI Codex Security et Calif. Selon TechCrunch, Calif a trouvé l'une des deux failles avec GPT-5.6 Sol, via le programme Patch the Planet d'OpenAI. Elle emploie elle-même ces outils : PHP avait été scanné début 2026 par Claude Mythos d'Anthropic (notre article), et Daybreak Red d'OpenAI valide rapports et exploits.

Wiz compare l'événement à Heartbleed en 2014 et Log4Shell en 2021, et y voit un tournant pour l'ère de l'IA ; TechCrunch a titré sur d'anciens trous trouvés par OpenAI et Wiz. Même scénario récemment avec Zoomsday, une faille critique de Zoom trouvée puis armée en moins de 20 prompts IA.

Suis-je concerné, et que faire tout de suite ?

Vous êtes concerné dès qu'un serveur exécute PHP pour servir des pages web : mutualisé, VPS, dédié, ou application WordPress, Drupal, Joomla. La faille est dans PHP lui-même, pas dans le CMS.

L'action qui compte est unique : passer à la version corrigée de votre branche, quitte à compiler un rétroportage pour une branche sans mise à jour.

Aucune mesure d'atténuation n'est complète, prévient php.net : la mise à jour reste le seul choix sûr, malgré des contournements partiels côté réglages PHP. Le CERT-FR juge « non qualifié » le blocage des requêtes multipart au WAF, et conseille d'isoler puis de migrer les branches non supportées.

Si la mise à jour immédiate est impossible, la NSA demande de déconnecter le système jusqu'à correction. La CISA demande d'inventorier les systèmes PHP, de corriger en priorité ceux exposés à internet, et de déconnecter les systèmes en 8.1 ou antérieur. Selon Wiz, surveillez les requêtes multipart inhabituelles suivies d'erreurs de limite mémoire ou de séries de réponses 500, les cookies PHPSESSID anormaux et le recyclage inexpliqué des processus PHP.

Des attaques ont-elles déjà commencé ?

Aucune exploitation confirmée à la publication : la fondation n'a identifié aucun exploit fonctionnel dans les preuves de concept apparues après la fuite, et la CISA n'observait rien au moment de son alerte.

Cloudflare a observé du trafic d'attaque visant ses clients, avec des requêtes qui mutent pour contourner ses règles, et a activé sa protection par défaut pour tous environ neuf heures avant la divulgation. La NSA juge l'armement probable.

Le 20 octobre, les identifiants des deux failles ont circulé en ligne avec une heure erronée et un score CVSS faux de 10, sans détail technique. À la suite de cette fuite, PHP a avancé sa pré-annonce puis la sortie des correctifs, jusque-là prévue le 22 octobre, au 21 à 14 h 00 UTC. Le même jour à 07 h 41 UTC, Chainguard a publié des images corrigées plus de six heures avant la sortie coordonnée, une rupture d'embargo jugée unilatérale par la fondation.

En France, le CERT-FR a publié le 21 octobre l'alerte CERTFR-2026-ALE-014, et l'ANSSI a relayé une mise à jour corrigeant deux vulnérabilités critiques « dont l'exploitation rapide est à craindre ».

![Le bulletin CERTFR-2026-ALE-014 du CERT-FR, « [Màj] Multiples vulnérabilités dans PHP », publié le 21 octobre 2026.](/assets/img/articles/php-faille-ia-2024-certfr.jpg)

La situation évolue heure par heure depuis la divulgation. Votre version de PHP, elle, se vérifie dès aujourd'hui.