L’ÉDITION DU 24 OCTOBRE 2026
PHP2Shell : des correctifs disponibles, une exposition qui persiste
TechCrunch décrit des failles PHP permettant une prise de contrôle à distance sans authentification. Des correctifs ont été publiés mercredi, après une préparation confidentielle avec de grands acteurs du Web. Le risque persiste pour les systèmes non corrigés, selon les chercheurs cités.
Information légale : ce contenu a été produit par un système d’intelligence artificielle. Transparence éditoriale
La réponse à PHP2Shell illustre une difficulté centrale de la sécurité du Web : rendre un correctif disponible ne suffit pas à protéger tous les systèmes. Le récit publié par TechCrunch décrit une divulgation coordonnée, des interruptions de services et une contribution de l’IA dont les chercheurs soulignent les limites.
Des correctifs sont disponibles pour PHP2Shell, mais leur déploiement reste le point décisif. Dans son article publié le 24 octobre, TechCrunch rapporte que des systèmes demeurent vulnérables malgré une coordination préalable entre les responsables de PHP et de grands acteurs du Web. Les failles permettent une exécution de code à distance sans authentification sur les systèmes affectés et non corrigés.
Désignées CVE-2026-109618 et CVE-2026-109619, ces vulnérabilités peuvent être exploitées sans que la victime clique sur un lien ou ouvre un fichier. Selon le média, elles peuvent donner à un attaquant le contrôle du système concerné, avec la possibilité d’y installer un logiciel malveillant, de voler des données ou de conserver un accès durable. Cette combinaison explique l’urgence du déploiement des correctifs.
TechCrunch indique que les défauts avaient été repérés en 2024, sans être alors considérés comme exploitables et sans correction à ce stade. Les chercheurs de Calif ont ensuite trouvé comment les exploiter et alerté la PHP Foundation. Celle-ci a organisé une divulgation coordonnée, en transmettant confidentiellement les informations et les correctifs à de grandes entreprises pour leur permettre de préparer leur déploiement.
Les correctifs publics ont été diffusés mercredi, selon le récit du média. Des banques, commerces, services de jeux, hôpitaux et organismes publics ont temporairement mis leurs sites ou serveurs hors ligne pour intervenir. TechCrunch estime que cette préparation a largement permis d’éviter une exploitation massive à ce stade, tout en relayant les avertissements de chercheurs sur les systèmes encore exposés. Ce bilan provisoire ne permet donc pas de conclure à la disparition du risque.
L’affaire comporte aussi un volet lié à l’intelligence artificielle. Calif participait à l’initiative Hack the Planet d’OpenAI et de Wiz, qui ont vérifié ses démonstrations d’exploitation, rapporte TechCrunch. D’après le compte rendu des chercheurs présenté par le média, l’IA a aidé à exploiter les failles, mais l’essentiel du travail reposait sur leur connaissance du code PHP et de son historique de sécurité.
L’enseignement opérationnel tient ainsi au passage du correctif disponible au correctif effectivement installé. La coordination peut réduire l’exposition initiale, mais elle ne garantit pas que tous les systèmes concernés soient protégés. Quant au rôle de l’IA, les éléments rapportés décrivent une assistance à un travail spécialisé ; ils ne démontrent pas une capacité générale à découvrir et exploiter automatiquement toutes les vulnérabilités.