Le 21 octobre 2026, la fondation PHP a publié en urgence un correctif pour deux vulnérabilités critiques, baptisées collectivement PHP2Shell. Des chercheurs armés d'intelligence artificielle générative les avaient repérées quelques semaines plus tôt dans du code vieux de plusieurs années. En quelques heures, des administrations et des entreprises françaises ont dû couper l'accès à leurs services. L'incident illustre une mécanique nouvelle : la même IA qui permet de débusquer une faille endormie permet aussi aux pirates de l'exploiter presque aussitôt.
Deux bugs restés invisibles pendant des années, débusqués par l'IA
Les failles CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10 en sévérité, permettent à un attaquant non authentifié d'exécuter du code à distance ou d'exposer de la mémoire de processus sensible sur un serveur PHP non corrigé. Elles ont été identifiées en août 2026, indépendamment, par les équipes de Wiz (filiale de Google, avec les chercheurs Sagi Tzadik, Shir Tamari, Nir Ohfeld et Tomer Schwartz) et par la société californienne Calif, en s'appuyant sur les modèles Gemini de Google et GPT-5.6 Sol d'OpenAI. OpenAI a ensuite fédéré une coalition réunissant Wiz, Calif, la fondation PHP, Cloudflare et plusieurs agences gouvernementales pour coordonner la divulgation et la sortie du correctif.
Sur l'ancienneté exacte du bug, les sources divergent légèrement. Samuel Hassine, PDG et cofondateur de l'entreprise de cybersécurité Filigran, affirme à 01net que « ces failles se trouvaient dans du code qui remonte à 2004 ». Le magazine Fortune, lui, rapporte que le bug identifié par Calif était présent depuis 14 ans et qu'une version limitée en avait déjà été repérée en 2024 sans être jugée critique à l'époque. Dans tous les cas, le constat est le même : le code posait problème depuis bien plus longtemps que ce qu'un audit classique avait permis de détecter.
PHP fait tourner environ 70% des sites web dans le monde, selon Wiz et selon le site de référence dédié à l'incident, php2shell.com. Une première analyse de Palo Alto Networks a identifié près de 22 millions d'instances potentiellement vulnérables dans le monde.
Impôts, préfectures, Orange : la France directement touchée
En France, les portails de plusieurs préfectures, le site des impôts, les services d'Orange et Météo France ont été temporairement déconnectés le temps d'implémenter les correctifs, selon 01net. Orange a confirmé avoir suspendu l'accès à certains services à l'échelle mondiale pendant le déploiement des correctifs, d'après la BBC. L'onde de choc a dépassé les frontières françaises : Wikimedia a mis hors ligne plusieurs de ses systèmes par précaution, le gouvernement finlandais et le conseil municipal d'Edimbourg ont fait de même, certaines pages de la BBC ont été coupées, l'agence de cybersécurité néerlandaise a retiré son propre site, et le Royaume-Uni a précisé avoir mis 32 sites hors ligne par précaution, aucun n'étant un service public majeur. Au Japon, l'opérateur SoftBank a suspendu temporairement ses alertes d'urgence liées aux séismes et tsunamis.
La bascule entre divulgation et exploitation s'est jouée en minutes. Matthew Prince, PDG de Cloudflare, a indiqué sur X que son réseau avait observé des milliers de tentatives d'exploitation dans les dix heures précédant l'annonce publique, puis des dizaines de milliers en 45 minutes, des centaines de milliers en deux heures, et des millions le soir même. Amazon a de son côté indiqué avoir été ciblé par de multiples tentatives dans les jours précédant la divulgation publique, tout en précisant que ses sites fonctionnaient normalement. La NSA américaine a demandé à toutes les organisations utilisant PHP de déconnecter leurs systèmes si elles ne pouvaient pas les corriger immédiatement, estimant que la faille offrait un chemin direct vers les bases de données. L'Union européenne, Singapour, l'Australie et le Premier ministre japonais ont émis des alertes similaires.
L'IA découvre les failles, l'IA accélère aussi les attaques
« La rapidité joue dans les deux sens », résume Samuel Hassine auprès de 01net. Il précise : « L'IA a trouvé des failles restées inaperçues pendant plus de dix ans, et les mêmes outils permettent aux attaquants de développer des exploits fonctionnels en quelques heures. » Romain Meunier, Solutions Architect chez Integrity360, confirme que l'un des bugs à l'origine de PHP2Shell remonterait à 2004 et n'aurait été identifié que grâce à une analyse assistée par intelligence artificielle, montrant comment les nouvelles technologies peuvent mettre au jour des failles restées indétectées pendant plusieurs décennies.
Guillaume Vassault-Houliere, PDG de l'entreprise de cybersécurité YesWeHack, cité par RTL, estime que ce type de crise va se multiplier à mesure que l'IA progresse, avec des pirates systématiquement en embuscade pour exploiter une faille avant qu'un correctif soit généralisé. « Ce n'est que le début », résume-t-il. Chris Krebs, ancien directeur de l'agence américaine de cybersécurité CISA (CISA), a indiqué sur CNBC que 3% de toutes les vulnérabilités critiques jamais découvertes l'ont été au cours du dernier mois, qualifiant la période de semaine particulièrement significative pour le secteur. Jason Clinton, responsable adjoint de la sécurité de l'information chez Anthropic, a écrit sur X que le paysage de la cybersécurité allait probablement empirer avant de s'améliorer, invitant les responsables sécurité à solliciter leurs conseils d'administration non pas pour l'IA, mais pour les fondamentaux, en évoquant une fenêtre de tenue d'environ 18 mois.
Un périmètre plus large que les simples sites web
Daniel Stewart, responsable du renseignement sur les menaces chez LRQA, rappelle à la BBC que PHP ne se limite pas aux applications web : on le retrouve couramment dans les interfaces de gestion d'équipements réseau, de répartiteurs de charge et de dispositifs embarqués, des équipements souvent oubliés lors de ce type d'incident. Ryan Ko, du centre de recherche en cybersécurité de l'université du Queensland, ajoute que beaucoup de ces failles viennent d'une époque où les logiciels étaient conçus pour la fonctionnalité, pas pour la sécurité. Autant d'angles morts qu'un inventaire classique d'applications web ne couvre pas.
PHP2Shell n'est pas un cas isolé
Ces derniers mois, l'IA d'Anthropic réservée aux spécialistes de la cybersécurité, Claude Mythos, a multiplié les découvertes de failles anciennes. Le tableau ci-dessous résume les cas cités par nos sources.
| Faille | Logiciel touché | Ancienneté estimée | IA utilisée pour la détection | Date de révélation |
|---|---|---|---|---|
| PHP2Shell | PHP | Depuis 2004 selon Filigran, ou 14 ans selon Fortune | Gemini (Google) et GPT-5.6 Sol (OpenAI) | 21 octobre 2026 |
| Squidbleed | Squid (serveur proxy) | Depuis 1997 | Claude Mythos (Anthropic) | Juin, année non précisée dans nos sources |
| Faille OpenBSD | OpenBSD | 27 ans | Claude Mythos (Anthropic) | Non précisée |
| Faille FFmpeg | FFmpeg (bibliothèque vidéo) | 16 ans | Claude Mythos (Anthropic) | Non précisée |
Ce que PHP2Shell change concrètement pour les RSSI français
L'incident oblige à distinguer deux niveaux de correctif. L'expert en sécurité Ken Munro rappelle à la BBC qu'installer le correctif PHP s'apparente à une mise à jour Windows classique, mais qu'il doit être appliqué au niveau du langage PHP lui-même : une simple mise à jour de WordPress ou de ses extensions ne suffit pas. Un RSSI qui délègue l'hébergement doit donc vérifier explicitement auprès de son prestataire que le correctif a été appliqué à la couche PHP, pas seulement au CMS. Le centre national britannique de cybersécurité (NCSC) recommande, si le correctif ne peut pas être déployé assez vite, d'envisager de mettre temporairement le site hors ligne.
Chris Krebs invite les petites et moyennes organisations à scanner leurs systèmes en permanence, à déployer les correctifs le plus vite possible, et à déconnecter les systèmes anciens qui ne peuvent pas être mis à jour. John Milinovich, directeur produit senior chez Figma, recommande en complément de généraliser l'authentification à deux facteurs, d'utiliser un gestionnaire de mots de passe, une application de protection d'identité, et d'isoler les objets connectés sur leur propre réseau. Pour Salil Kanhere, chercheur à l'UNSW de Sydney, les tentatives d'exploitation vont continuer d'augmenter dans les semaines qui suivent, maintenant que les détails techniques sont publics.
Un autre enjeu se dessine pour les équipes françaises : l'audit de code par IA, qui a permis de trouver PHP2Shell, suppose d'envoyer du code source à des modèles tiers. Les RSSI qui veulent généraliser cette pratique en interne doivent arbitrer entre plusieurs fournisseurs de modèles et la question du traitement des données transmises. Des plateformes françaises comme Moon AI, éditée par Stellarr Studio SAS, donnent accès à plus de 70 modèles (GPT, Claude, Gemini, Mistral, DeepSeek, Llama, Grok, Qwen, ainsi que le modèle maison Moon 6) sous un abonnement unique, avec un mécanisme appelé Moon Blur qui remplace les données personnelles par des jetons avant leur envoi aux modèles tiers, puis les rétablit au retour. Ce procédé étant réversible, il s'agit d'une pseudonymisation au sens du RGPD, pas d'une anonymisation : les requêtes elles-mêmes partent bien chez les fournisseurs de modèles une fois les données personnelles pseudonymisées.
Questions fréquentes
PHP2Shell concerne-t-il uniquement les sites sous WordPress ?
Non. WordPress, qui repose sur PHP, est l'un des usages les plus visibles, mais la BBC rappelle que PHP équipe aussi des interfaces de gestion d'équipements réseau, de répartiteurs de charge et de dispositifs embarqués, souvent négligés lors d'un inventaire centré sur les sites web.
Mon site a-t-il déjà été attaqué si je n'ai rien constaté d'anormal ?
Au moment de la rédaction, la BBC indiquait qu'aucune attaque réussie n'avait été formellement rapportée, mais que l'impact réel pouvait mettre du temps à apparaître pleinement. AWS a de son côté signalé que la faille était largement exploitée, selon Fortune, ce qui justifie une vérification même en l'absence de signe visible.
Comment vérifier que le correctif a bien été appliqué chez mon hébergeur ?
Ken Munro recommande de contacter directement l'hébergeur ou le développeur du site pour demander si le correctif PHP a été appliqué, en précisant que ce correctif concerne PHP lui-même et ne peut pas être résolu par une simple mise à jour de WordPress ou de ses extensions.
L'IA va-t-elle continuer à révéler ce type de faille ancienne ?
Les précédents cités par nos sources (Squidbleed dans Squid, une faille de 27 ans dans OpenBSD, un bug de 16 ans dans FFmpeg, tous découverts par Claude Mythos d'Anthropic) suggèrent que oui. Guillaume Vassault-Houliere, PDG de YesWeHack, estime que ce type de crise va se multiplier et que « ce n'est que le début ».