RéponsesPublié25 sources
PHP2Shell : ce qu’il faut savoir sur les failles et les versions corrigées
Le 21 octobre, PHP a publié des correctifs pour deux failles critiques permettant, dans certaines conditions, l’exécution de code à distance sans connexion préalable. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Publié parModifié avec GPT-6 LunaImages générées avec GPT Image 2
Réponse de recherche
Points clés à retenir
- Le 21 octobre, PHP a publié des correctifs pour deux failles critiques permettant, dans certaines conditions, l’exécution de code à distance sans connexion préalable.
- Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les responsables de serveurs doivent vérifier leur version et installer le correctif adapté à leur branche.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell désigne deux vulnérabilités critiques de PHP, référencées CVE-2026-109618 et CVE-2026-109619. PHP a publié des correctifs le 21 octobre 2026, après la divulgation prématurée de détails qui devaient être rendus publics plus tard. Dès le lendemain, des entreprises de cybersécurité signalaient une forte hausse des tentatives d’exploitation. PHP étant utilisé par environ 70 % des sites web, l’urgence était réelle — mais ce chiffre ne signifie pas que 70 % des sites ont été compromis. 1
2
9
18
19
Ce que permettaient les failles PHP2Shell
Les deux problèmes étaient qualifiés de failles d’exécution de code à distance sans authentification. Dans certaines conditions, un attaquant pouvait donc exécuter du code sur un serveur vulnérable sans s’y connecter au préalable. L’une des failles concernait une corruption liée à un manque de mémoire ; l’autre, un état global périmé. 6
7
Des informations publiées situaient les versions potentiellement concernées jusqu’à PHP 5.4. Cette étendue ne prouve toutefois ni que chaque site utilisant PHP était vulnérable dans sa configuration, ni qu’il a été attaqué avec succès. 14
21
Les versions corrigées et la divulgation anticipée
PHP a publié des versions corrigées le 21 octobre : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. 1
6 Ces mises à jour sont intervenues après une fuite, le 20 octobre, avant la divulgation coordonnée prévue le 22. Cette publication anticipée a bousculé le calendrier et été suivie d’une sortie d’urgence des correctifs.
2
9
13
Pour les organisations qui utilisent PHP, la priorité est de recenser les versions installées sur leurs serveurs accessibles depuis Internet et d’appliquer la mise à jour correspondant à chaque branche. Les recommandations de sécurité invitent à vérifier les installations qui traitent des requêtes web, sans supposer que le risque se limite à un site ou à une application particulière. 7
11
Une recherche assistée par l’IA, menée avec des équipes de sécurité
OpenAI indique que l’entreprise de cybersécurité Calif a identifié l’une des failles avec GPT-5.6 Sol, dans le cadre de son initiative Patch the Planet. De son côté, Wiz a découvert et signalé les deux vulnérabilités de façon indépendante. Les responsables de PHP ont dirigé la correction et la publication des mises à jour. 48 OpenAI affirme également avoir consacré les deux mois précédents à coordonner les travaux avec les responsables de PHP, des chercheurs et des acteurs de la sécurité.
48
Cet épisode illustre l’utilisation de l’IA dans la recherche de vulnérabilités, mais ne montre pas qu’un système d’IA a, à lui seul, découvert, vérifié ou corrigé les failles. Les informations disponibles décrivent un travail impliquant aussi des entreprises de sécurité et les responsables de PHP. 35
48
Des tentatives d’exploitation en hausse, sans bilan mondial des compromissions
Cloudflare a fait état d’une progression des tentatives d’exploitation, passées de milliers avant la divulgation publique à des millions ensuite. Amazon aurait, pour sa part, observé une tentative d’attaque le 17 octobre, quatre jours avant cette divulgation. Ces chiffres portent sur des tentatives, et non sur le nombre de compromissions réussies. 19
Des entreprises de sécurité ont également signalé des activités au-delà de leurs pots de miel — des systèmes leurres destinés à attirer les attaquants — tout en précisant que les autorités compétentes n’avaient pas confirmé ces signalements à ce moment-là. 17 Par ailleurs, des sites et services publics auraient été mis hors ligne par précaution, dont plus de 30 services du gouvernement britannique.
23 La NSA a averti que des attaquants pourraient prendre le contrôle de serveurs web, voler des données, perturber des services ou progresser dans des réseaux d’entreprise. Selon USA Today, l’agence a conseillé aux sites incapables de corriger rapidement la faille de se déconnecter.
18
23
Les informations disponibles décrivent une réaction rapide et un volume élevé de trafic visant à exploiter les failles. Elles ne fournissent pas de bilan mondial des intrusions réussies. La part estimée de PHP dans les sites web ne doit donc pas être interprétée comme une mesure du nombre de systèmes effectivement vulnérables ou compromis.
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « PHP2Shell : ce qu’il faut savoir sur les failles et les versions corrigées » ?
Le 21 octobre, PHP a publié des correctifs pour deux failles critiques permettant, dans certaines conditions, l’exécution de code à distance sans connexion préalable.
Quels sont les points clés à valider en premier ?
Le 21 octobre, PHP a publié des correctifs pour deux failles critiques permettant, dans certaines conditions, l’exécution de code à distance sans connexion préalable. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les responsables de serveurs doivent vérifier leur version et installer le correctif adapté à leur branche.