RéponsesPublié25 sources
PHP2Shell : pourquoi ces failles PHP ont déclenché une course aux correctifs
PHP2Shell regroupe deux failles critiques permettant potentiellement d’exécuter du code à distance sur un serveur, sans connexion préalable. Calif a identifié une faille avec GPT 5.6 Sol d’OpenAI, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- PHP2Shell regroupe deux failles critiques permettant potentiellement d’exécuter du code à distance sur un serveur, sans connexion préalable.
- Calif a identifié une faille avec GPT 5.6 Sol d’OpenAI, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités.
- Des tentatives de sondage et d’exploitation ont été rapportées, mais les sources citées ne confirment pas que ces activités aient abouti à des compromissions.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell est le nom donné à deux vulnérabilités critiques du langage PHP, répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619. Toutes deux ont obtenu la note de 9,2 selon le barème CVSS 4.0 et pourraient permettre l’exécution de code à distance : un attaquant pourrait ainsi viser un serveur PHP sans avoir à s’y connecter au préalable. Le projet PHP a publié des correctifs d’urgence le 21 octobre 2026. 8
9
10
L’affaire a aussi attiré l’attention sur la recherche en cybersécurité assistée par l’intelligence artificielle. Calif a utilisé GPT-5.6 Sol d’OpenAI pour repérer une faille, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités. Les signalements de scans ou de tentatives d’exploitation ne constituent toutefois pas une preuve que des serveurs ont été compromis. 20
29
34
Ce que permettent les deux failles PHP2Shell
Les vulnérabilités touchent PHP lui-même, et non une plateforme de site web ou une extension particulière. CVE-2026-109618 concerne la gestion par PHP d’une situation de mémoire insuffisante, alors que les données d’une requête ne sont pas encore entièrement initialisées. CVE-2026-109619 porte sur un état interne obsolète qui persiste après la libération de la mémoire associée. Dans les deux cas, le problème peut conduire à l’exécution de code à distance. 10
26
La note de 9,2 sur 10 selon CVSS 4.0 correspond à un niveau critique. Le risque tient notamment à la possibilité qu’un attaquant exécute du code sur un serveur vulnérable depuis l’extérieur, sans authentification. 9
10
Le rôle de l’IA dans la recherche
Dans le cadre de l’initiative Patch the Planet, Calif a identifié une faille critique avec l’aide de GPT-5.6 Sol, un modèle d’OpenAI. De son côté, Wiz a découvert et signalé les deux vulnérabilités de façon indépendante. Selon les informations publiées, ses recherches ont mobilisé Wiz Atlas ainsi que Gemini 4 Argon et GPT-5.6 Sol. 20
29
Les récits ne donnent pas tous la même date pour les premières étapes : une source indique que Calif a trouvé les failles le 1er août, tandis qu’une autre rapporte que des chercheurs ont signalé la première vulnérabilité à l’équipe PHP le 11 août. Les deux récits évoquent un travail coordonné avec les responsables de PHP avant la divulgation publique d’octobre. 20
30
L’IA a donc aidé des chercheurs à repérer des vulnérabilités. Les éléments disponibles ne démontrent pas que des systèmes d’IA autonomes aient mené les attaques signalées par la suite.
Correctifs d’urgence et sites mis hors ligne
Le 21 octobre, PHP a publié les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ces numéros correspondent aux versions officielles de PHP. Les distributions Linux peuvent toutefois intégrer les correctifs dans leurs propres paquets sans reprendre les mêmes numéros de version : les administrateurs doivent donc consulter les avis de sécurité de leur distribution plutôt que de se fier uniquement au numéro affiché. 8
27
Après la divulgation, certains exploitants de sites ont mis leurs systèmes hors ligne le temps d’évaluer le risque. Des sites gouvernementaux en Europe et ailleurs auraient été indisponibles le 21 octobre. 21 Une autre source indique que la fuite d’informations sur les vulnérabilités a contribué à avancer la publication prévue par PHP d’une journée.
22
33
Pour les organisations qui utilisent PHP, l’essentiel est de vérifier que l’instance qui traite le trafic web bénéficie bien du correctif, puis d’appliquer la mise à jour appropriée et de suivre les consignes de redémarrage ou de vérification du fournisseur. Si l’hébergement est géré par un prestataire, mieux vaut lui demander de confirmer que le serveur est corrigé plutôt que de se fier au seul fonctionnement visible du site. 8
24
Des tentatives d’exploitation ne prouvent pas une compromission
Cloudflare et Patchstack auraient observé des activités de sondage avant la publication du correctif PHP, le 21 octobre. Un rapport de sécurité ultérieur a évoqué des millions de tentatives d’attaque. La BBC indiquait, le 22 octobre, qu’aucune exploitation réussie n’était alors connue. Ces informations justifient la prudence, mais ne prouvent pas que les tentatives rapportées aient abouti à des intrusions confirmées. 2
3
34
La conclusion doit donc rester mesurée : PHP2Shell était une menace grave, a rapidement attiré l’attention des attaquants et nécessitait une mise à jour urgente. Mais le nombre de tentatives ne doit pas être présenté comme un décompte de compromissions réussies. Les sources citées ne permettent pas non plus d’estimer de manière fiable le nombre de sites vulnérables exposés ni de confirmer des attaques menées par des IA autonomes.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : pourquoi ces failles PHP ont déclenché une course aux correctifs » ?
PHP2Shell regroupe deux failles critiques permettant potentiellement d’exécuter du code à distance sur un serveur, sans connexion préalable.
Quels sont les points clés à valider en premier ?
PHP2Shell regroupe deux failles critiques permettant potentiellement d’exécuter du code à distance sur un serveur, sans connexion préalable. Calif a identifié une faille avec GPT 5.6 Sol d’OpenAI, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités.
Que dois-je faire ensuite en pratique ?
Des tentatives de sondage et d’exploitation ont été rapportées, mais les sources citées ne confirment pas que ces activités aient abouti à des compromissions.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...