Mercredi 21 octobre, vers 16 h, les sites des préfectures ont disparu d’Internet. Celui des impôts aussi, comme celui de Météo-France ou de la CNIL. Aucune cyberattaque géante derrière tout ça. L’État a débranché lui-même ses sites, à la demande de l’ANSSI, le temps de corriger deux failles critiques dans PHP, le langage qui fait tourner environ 70 % du web. Leur petit nom, c’est PHP2Shell. Et le plus fou dans l’histoire, c’est qui les a trouvées en premier. Une IA, deux mois et demi avant les pirates.
Sommaire
Le jour où la France a débranché ses sites
Tout commence le mardi 20 octobre au soir. L’équipe de sécurité de PHP publie une annonce inhabituelle sur php.net. Une mise à jour d’urgence sortira le lendemain à 16 h, heure de Paris, pour corriger deux vulnérabilités notées 9,2 sur 10. Leurs identifiants sont CVE-2026-109618 et CVE-2026-109619. Dans le jargon, ce sont des « RCE sans authentification ». En clair, un attaquant peut faire exécuter son propre code sur un serveur web, à distance, sans compte ni mot de passe. C’est à peu près le pire scénario possible pour un site.
Le problème, c’est que l’information a fuité avant l’heure. Les identifiants des failles circulaient déjà en ligne dans l’après-midi du 20, et une vidéo de démonstration publiée par erreur par une des équipes de chercheurs a été copiée partout. Les autorités ont donc pris les devants. En France, le ministère de l’Intérieur a mis en « maintenance préventive » tous ses sites exposés, préfectures comprises. Bercy, impots.gouv.fr, Météo-France, la CNIL et certains services de la Ville de Paris ont suivi. Le Parlement néerlandais, des services publics finlandais et même Nintendo ont fait pareil. Météo-France est revenu le soir même, mais le site des impôts et plusieurs préfectures affichaient encore une page de maintenance le 23 au matin.
Aucun de ces sites n’a signalé d’intrusion. Couper, c’était juste le moyen le plus sûr de ne pas être le premier sur la liste.
PHP, le moteur que tu ne vois jamais
Tu n’as jamais téléchargé PHP, et pourtant tu t’en sers tous les jours. C’est un langage né en 1994 qui tourne côté serveur et fabrique les pages que ton navigateur affiche. WordPress repose dessus, comme Drupal, Joomla, Magento, Wikipédia ou des milliers de boutiques en ligne. Selon W3Techs, PHP équipe à peu près 70 % des sites dont on connaît le langage serveur. Palo Alto Networks a compté plus de 22,6 millions d’installations exposées sur Internet.
Ce qui rend PHP2Shell si sérieux, c’est l’endroit où se trouvent les failles. Elles sont dans le moteur de PHP lui-même, dans sa manière de gérer la mémoire. Elles ne dépendent ni d’un plugin mal codé ni d’un thème oublié. Les chercheurs ont démontré l’attaque sur des versions parfaitement à jour de WordPress, Drupal, Joomla, Laravel ou Symfony. Wordfence l’a résumé en une phrase que tous les blogueurs WordPress devraient lire deux fois : les mises à jour automatiques de WordPress n’appliqueront pas ce correctif. Il faut mettre à jour PHP, une couche plus bas.
L’IA a trouvé la faille avant les pirates
Voilà la partie qui me passionne. Fin juillet, OpenAI invite la société de sécurité Calif dans son programme Patch the Planet, lancé en juin avec Trail of Bits pour chasser les failles des logiciels open source avec des modèles d’IA, sous le contrôle de chercheurs humains. Calif choisit PHP comme cible, avec l’accord de la PHP Foundation. Personne n’y croit vraiment. Le code de PHP a déjà été audité dans tous les sens, y compris par d’autres IA.
Le 1er août, quelques jours après le début de l’audit, Calif tient sa première piste avec GPT-5.6 Sol. Le 11 août, elle la signale à l’équipe PHP. Le même jour, OpenAI remonte de son côté exactement la même cause. Le 19 août, l’équipe de recherche de Wiz, l’éditeur de sécurité racheté par Google, découvre la faille indépendamment, avec son outil Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol. Trois équipes, deux labos d’IA concurrents, la même trouvaille en moins de trois semaines. Selon Greg Brockman, président d’OpenAI, le défaut dormait dans PHP depuis quatorze ans.
Wiz ne cache pas ce que l’IA a changé dans son travail. L’équipe crédite Gemini 4 Argon d’une contribution à la découverte, au développement de l’exploit de démonstration et à la validation du correctif, et elle a cette phrase qui résume toute l’époque :
Un seul chercheur a bouclé en une semaine ce qui aurait demandé des mois à une équipe de classe mondiale. (traduit de l’anglais)
Un trou de quatorze ans, trouvé en quelques jours. Pense à toutes les bibliothèques open source qui font tourner Internet et que personne n’a relues depuis dix ans. OpenAI le dit d’ailleurs sans détour : PHP2Shell fait partie de « plusieurs vulnérabilités importantes » déjà trouvées, et la société s’attend à ce que ce genre de découvertes « augmente fortement dans les mois qui viennent ».
81 jours d’avance, perdus en une soirée
OpenAI a un nom pour la période qui suit la découverte. Elle l’appelle la « fenêtre du défenseur » (Defender’s Window). Entre le 1er août et le 21 octobre, soit 81 jours, seuls les chercheurs, l’équipe PHP et une poignée de partenaires savaient. Ce temps a servi à écrire et tester le correctif, à préparer les distributions Linux, et à prévenir les gros hébergeurs comme Cloudflare, AWS ou Google Cloud, en lien avec la CISA américaine. Cloudflare protégeait tous ses clients, offre gratuite comprise, dès 5 h du matin le 21, onze heures avant la sortie du correctif.
Sur le papier, c’est le scénario parfait. Dans les faits, la fenêtre s’est refermée plus tôt que prévu. Amazon dit avoir repéré une première tentative d’exploitation sur un de ses serveurs pièges dès le 17 octobre, quatre jours avant l’annonce. Puis la fuite du 20 a lancé la course. Le patron de Cloudflare, Matthew Prince, a décrit l’emballement à Reuters.
Des milliers de tentatives dans les dix heures avant l’annonce publique, des dizaines de milliers dans les 45 minutes après, des centaines de milliers au bout de deux heures, puis des millions. Et l’IA a aussi servi en face. Dès le 21, watchTowr voyait passer des outils d’attaque bricolés en vitesse « avec l’aide de l’IA ». La plupart plantaient. Pas tous. Le 24 octobre, un chercheur a documenté 35 prises de contrôle réussies sur des serveurs pièges qui tournaient avec un PHP non corrigé. Le 26, la CISA a inscrit les deux failles à son catalogue des vulnérabilités activement exploitées, avec une échéance au 29 octobre pour les agences fédérales américaines.
Petit rebondissement au passage. Le 23 octobre, PHP a signalé une troisième faille, CVE-2026-115560, qui ne touche que des configurations rares et sera corrigée lors d’une mise à jour classique. Aucune attaque n’a été signalée sur celle-là.
Et toi, tu dois faire quoi ?
Si tu es simple internaute, rien. Il n’y a rien à mettre à jour sur ton iPhone ni sur ton Mac. PHP2Shell vise les serveurs. Le risque pour toi, c’est qu’un site où tu as un compte se fasse piller ses données. Garde des mots de passe uniques, et passe aux clés d’accès partout où c’est possible.
Si tu as un site sur un hébergement géré, c’est à ton hébergeur de jouer. Ce blog tourne sur WordPress.com, et Automattic a confirmé dès le 21 que WordPress.com, WordPress VIP, Pressable et WP Cloud étaient déjà protégés. SiteGround avait posé ses protections sept heures avant la sortie du correctif. Chez les autres, un message au support suffit pour savoir où ils en sont.
Si tu gères ton propre serveur ou un VPS, ne remets pas à demain. Tape php -v pour connaître ta version, et vérifie que tu es au moins sur une de celles-ci.
Pense à redémarrer tous les services PHP après la mise à jour. Un paquet corrigé sur le disque ne protège rien tant que les anciens processus tournent encore. Les réglages de contournement qui circulent ne font que réduire certains chemins d’attaque, et l’équipe PHP le répète : la mise à jour est la seule option sûre. Le vrai trou noir, c’est PHP 8.1 et les versions plus anciennes. Elles ne reçoivent plus de mise à jour officielle, et selon la chercheuse Joviane Jardim (Detectify), environ la moitié des sites PHP tournent encore sur une version trop vieille pour être corrigée. Si c’est ton cas, la seule vraie réponse, c’est de migrer.
Mon avis sur cette affaire
Je vais être cash. PHP2Shell est la meilleure publicité possible pour l’IA en cybersécurité, et une partie des médias va réussir à en faire une histoire qui fait peur. L’IA n’a pas créé ces failles. Elles étaient là depuis quatorze ans, sous le nez de tout le monde, et rien ne dit qu’un service de renseignement ou un groupe criminel ne les exploitait pas déjà en silence. Cette fois, ce sont les gentils qui sont arrivés les premiers, avec 81 jours d’avance et un correctif prêt le jour J.
Ce qui a fait mal, c’est la fuite et les vieux serveurs que personne n’entretient. Une IA trouve en une semaine ce qu’une équipe d’élite cherchait pendant des mois, et elle le trouve aussi pour l’attaquant. La seule question qui compte désormais, c’est qui tient le modèle le plus puissant et qui s’en sert en premier. Ralentir les labos au nom de la prudence, comme certains le réclament, reviendrait à laisser la prochaine faille à ceux qui ne demandent la permission à personne. Je préfère de loin un monde où Calif, OpenAI et Wiz passent le code du web au peigne fin avant les autres.
Le vrai chantier est ailleurs. Ces découvertes vont se multiplier, et des millions de sites n’ont aucun humain pour appliquer un correctif. L’IA qui trouve les failles existe déjà. Il manque celle qui les répare toute seule.
Questions fréquentes
C’est quoi PHP2Shell ?
C’est le surnom de deux failles critiques du moteur PHP, CVE-2026-109618 et CVE-2026-109619, notées 9,2 sur 10. Elles permettent à un attaquant d’exécuter du code sur un serveur web sans s’authentifier. PHP les a corrigées le 21 octobre 2026.
Mettre à jour WordPress suffit-il ?
Non. La faille est dans PHP, une couche sous WordPress. Il faut que la version de PHP du serveur soit au moins 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Sur un hébergement géré, c’est l’hébergeur qui s’en charge.
Qui a découvert PHP2Shell ?
Trois équipes, avec l’aide de l’IA. Calif avec GPT-5.6 Sol dans le cadre du programme Patch the Planet d’OpenAI, OpenAI elle-même, et Wiz Research avec Gemini 4 Argon et GPT-5.6 Sol. Ce sont les trois découvreurs crédités par l’équipe PHP.
PHP2Shell est-il exploité ?
Oui. Cloudflare a compté des millions de tentatives après l’annonce, des prises de contrôle réussies ont été documentées sur des serveurs pièges le 24 octobre, et la CISA a ajouté les deux failles à son catalogue des vulnérabilités exploitées le 26 octobre.
Si cet article t’a été utile, n’hésite pas à me le dire en commentaire. Tu peux aussi soutenir le blog en faisant tes achats Amazon via ce lien.
Mes analyses, mes tests et mes tutos, direct dans ta boîte. Pas de blabla, pas de spam.
Laisser un commentaire