Faille PHP « php2shell » : découverte grâce à l’IA, ce que vous devez faire pour votre site

Le 21 octobre 2026, l’équipe de PHP a publié en urgence un correctif pour une faille PHP critique, en réalité deux failles surnommées « php2shell ». PHP est le langage qui fait tourner WordPress, Drupal, Joomla et une grande partie des sites web. Dans certaines conditions, ces failles permettent à un attaquant d’exécuter du code sur le serveur, sans mot de passe.

Particularité de cette affaire : la faille a été trouvée par des chercheurs qui se sont appuyés sur des modèles d’intelligence artificielle. Voici ce qui s’est passé, qui est concerné et ce que vous devez vérifier dès aujourd’hui si vous avez un site.

Faille PHP php2shell : que s’est-il passé ?

Les deux failles touchent la façon dont PHP gère certaines erreurs graves pendant le traitement d’une requête :

• CVE-2026-109618 : quand la mémoire disponible est épuisée au mauvais moment, des données à moitié préparées peuvent ensuite être traitées comme valides.
• CVE-2026-109619 : après une erreur fatale, des informations laissées par une requête précédente peuvent être réutilisées par la suivante, alors que la mémoire correspondante a été libérée.

Dans les deux cas, un attaquant peut, sous certaines conditions, prendre le contrôle du serveur à distance. L’équipe de sécurité de PHP a noté les deux failles 9,2 sur 10.

Une faille trouvée grâce à l’IA : ce que cela change

Cette affaire montre à quel point les modèles d’IA sont devenus des outils de recherche de failles :

• Calif a utilisé GPT-5.6 Sol, dans le cadre de Patch the Planet, un programme d’OpenAI consacré à la recherche de failles.
• Wiz explique s’être appuyé sur Gemini 4 Argon de Google, GPT-5.6 Sol et son propre outil, Wiz Atlas. Selon l’entreprise, l’IA a aidé à trouver le défaut, à construire une attaque de démonstration, puis à vérifier le correctif.
• La PHP Foundation, qui soutient le développement de PHP, analyse le code avec Claude Mythos d’Anthropic, et utilise aussi un outil d’OpenAI pour vérifier les signalements.

Il faut cependant nuancer l’idée d’une « faille trouvée par une IA » : des équipes humaines ont guidé ces outils, vérifié chaque résultat et écrit les correctifs. La PHP Foundation le résume ainsi : l’IA aide à vérifier et à trier les signalements, mais « une personne prend chaque décision et travaille sur chaque correctif ».

L’IA augmente aussi fortement le volume de travail des équipes de sécurité. Depuis le 1^er juillet 2026, la PHP Foundation a publié 15 identifiants de failles et reçu plus de 100 signalements invalides, en double ou impossibles à reproduire.

Le revers est connu : les mêmes outils peuvent aider des attaquants à fabriquer plus vite une attaque à partir d’un correctif publié. OpenAI l’a souligné à propos de cette faille. Le défaut, lui, existait depuis PHP 5.4, publié en 2012 : il est resté invisible plus de dix ans.

Qui est concerné ?

Presque toutes les versions de PHP sont touchées. Wiz dit avoir démontré une prise de contrôle sans mot de passe sur WordPress, Drupal et Joomla dans ses environnements de test. L’entreprise estime que PHP fait tourner 70 % des sites web, sans détailler son calcul.

Attention : certains hébergeurs et distributions Linux appliquent le correctif sans changer le numéro de version. Si votre site affiche encore une version plus ancienne, demandez confirmation à votre hébergeur.

Les attaques ont-elles commencé ?

Les avis divergent, ce qui est fréquent dans les premières heures :

• Le 22 octobre, le CERT-FR indique avoir connaissance de preuves de concept, mais ne signale pas d’exploitation active.
• Amazon, cité par l’éditeur de sécurité Tenable, dit avoir observé une première tentative dès le 17 octobre, puis d’autres le 21, et parle d’une exploitation large. Cloudflare signale aussi des premières attaques.

Par prudence, partez du principe que des attaques automatisées ciblent déjà les sites qui ne sont pas à jour.

Que faire si vous avez un site WordPress ?

Le correctif ne passe pas par une mise à jour de WordPress : il concerne PHP, installé sur le serveur. Voici les étapes, de la plus urgente à la moins urgente.

1. Vérifiez votre version de PHP. Dans WordPress, allez dans Outils, puis Santé du site, onglet Informations, rubrique Serveur. Vous pouvez aussi la trouver dans l’espace client de votre hébergeur.
2. Si votre site est sur un hébergement mutualisé, c’est l’hébergeur qui met PHP à jour. Vérifiez qu’il l’a fait ; sinon, contactez son support. Chez Sieli, notre hébergeur a confirmé avoir appliqué le correctif.
3. Si vous gérez votre propre serveur, installez la version corrigée, puis redémarrez tous les processus PHP. Sans redémarrage, l’ancienne version continue de tourner.
4. Si vous ne pouvez pas mettre à jour tout de suite, votre prestataire peut appliquer les réglages temporaires recommandés par PHP, par exemple désactiver l’option qui suit la progression des envois de fichiers. PHP précise que ces réglages réduisent le risque sans l’éliminer.
5. Si votre site tourne encore en PHP 8.1 ou plus ancien, prévoyez une migration : ces versions ne seront plus corrigées.
6. Profitez-en pour faire le point : une sauvegarde récente, des extensions à jour, un pare-feu applicatif actif et des mots de passe administrateur solides.
7. Surveillez les signes d’intrusion : un compte administrateur inconnu, des fichiers PHP dans le dossier des médias, des erreurs serveur répétées. Au moindre doute, faites appel à un professionnel, par exemple via Cybermalveillance.gouv.fr.

Ce que cette faille dit de l’IA et de la sécurité

Php2shell illustre un tournant : l’IA permet de trouver en quelques semaines des défauts restés cachés plus de dix ans dans des logiciels utilisés partout. C’est une bonne nouvelle pour la sécurité à long terme. Mais le délai entre la publication d’un correctif et les premières attaques se raccourcit : les mises à jour ne peuvent plus attendre.

Pour une petite structure, la meilleure protection reste simple : un hébergeur réactif, des mises à jour régulières, des sauvegardes, et des équipes formées aux bons réflexes. Les attaques passent aussi souvent par l’humain que par le code, comme nous l’expliquons dans notre article sur l’ingénierie sociale.

Questions fréquentes

Qu’est-ce que php2shell ?

C’est le surnom donné à une faille PHP critique, en fait deux failles, CVE-2026-109618 et CVE-2026-109619, corrigées le 21 octobre 2026. Dans certaines conditions, elles permettent de prendre le contrôle d’un serveur à distance, sans mot de passe.

Mon site WordPress est-il touché ?

Il l’est si votre serveur utilise une version de PHP non corrigée, ce qui était le cas de presque tous les sites avant le 21 octobre. Vérifiez la version de PHP dans la Santé du site ou auprès de votre hébergeur.

Faut-il mettre à jour WordPress ?

La faille concerne PHP, pas WordPress. Mettre à jour WordPress ne suffit donc pas, mais reste une bonne pratique. C’est la version de PHP installée sur le serveur qu’il faut corriger.

Une IA a-t-elle trouvé la faille toute seule ?

Non. Des chercheurs de Calif, d’OpenAI et de Wiz ont utilisé des modèles d’IA pour explorer le code et tester leurs hypothèses, puis des humains ont vérifié les résultats et écrit les correctifs.

Sources

• The PHP Foundation, Today’s PHP Security Release, and How We’re Strengthening PHP Security, 21 octobre 2026.
• PHP, annonce de PHP 8.4.27, 21 octobre 2026.
• CERT-FR (ANSSI), alerte CERTFR-2026-ALE-014, Multiples vulnérabilités dans PHP, mise à jour du 22 octobre 2026.
• NCSC (Royaume-Uni), Critical security issue affecting PHP, 21 octobre 2026.
• Wiz Research, PHP2Shell: AI uncovers critical RCE vulnerabilities, octobre 2026.
• Tenable, php2shell : questions fréquentes, octobre 2026.
• SANS Internet Storm Center, Critical PHP Vulnerability, 21 octobre 2026.
• Fortune, AI helped discover the PHP vulnerability…, 21 octobre 2026.