Une faille dans PHP menace des millions de sites web

L'équipe de PHP, le langage de programmation qui fait tourner une grande partie du web, a publié le mercredi 21 octobre 2026 des correctifs d'urgence pour deux failles de sécurité critiques. Référencées CVE-2026-109618 et CVE-2026-109619, elles obtiennent chacune une note de 9,2 sur 10 sur l'échelle de gravité CVSS. Les chercheurs les ont surnommées « php2shell ».

PHP fait tourner environ 70 à 80 % des sites web dont le langage serveur est connu, notamment des sites construits avec WordPress, Drupal, Joomla et Laravel. Selon les chercheurs, ces failles pourraient permettre à un attaquant d'exécuter du code sur un serveur web et d'en prendre le contrôle. Plus de 1,3 million de serveurs connectés à internet pourraient être concernés.

Les failles ont été découvertes à l'aide de l'intelligence artificielle. L'entreprise de sécurité Calif en a trouvé une grâce à un modèle d'OpenAI, et Wiz indique avoir détecté plusieurs bugs de sécurité mémoire dans PHP avec des outils d'IA d'OpenAI, de Google et les siens. Selon Wiz, l'IA rend ce type de bugs complexes plus faciles à exploiter.

Des agences de sécurité, dont le CERT-EU et le National Cyber Security Centre britannique, ont appelé les organisations à mettre à jour rapidement, ou à isoler leurs sites d'internet si elles ne peuvent pas le faire tout de suite. Au moment de ces informations, l'agence américaine CISA disait ne pas avoir constaté d'attaques exploitant ces failles, tandis que certaines entreprises signalaient des attaquants en train de scanner internet à la recherche de serveurs non corrigés.

De nombreux serveurs pourraient rester exposés : environ 758 000 serveurs qui affichent leur version de PHP utilisent d'anciennes versions qui ne reçoivent plus de mises à jour de sécurité.