L'IA trouve deux failles graves dans PHP et une grande partie du web se précipite pour corriger

Mis à jour 15:56 UTC, 22 octobre 2026: Les tentatives d'exploitation se comptent en millions, 32 services du gouvernement britannique hors ligne

Les attaquants ont bougé dans les heures qui ont suivi la divulgation, et les chiffres n'ont cessé de monter. Le directeur général de Cloudflare, Matthew Prince, a dit sur X mercredi soir que son réseau avait vu des milliers de tentatives d'exploitation des failles dans les 10 heures qui ont précédé l'annonce publique. Le chiffre est passé à des dizaines de milliers dans les 45 minutes qui ont suivi l'annonce, à des centaines de milliers en deux heures, et il se compte maintenant en millions. Cloudflare a dit que les attaquants modifient aussi leurs charges pour tenter de passer ses protections pare-feu, et a insisté sur le fait que ces protections ne remplacent pas le correctif.

Amazon dit que la première tentative est arrivée avant même que les failles soient publiques. Amazon Threat Intelligence a dit avoir détecté une tentative d'exploitation de php2shell le 17 octobre, quatre jours avant la sortie des correctifs, repérée par MadPot, son réseau de pots de miel. Les failles étaient encore sous embargo à ce moment-là, et Amazon a dit qu'on ne sait toujours pas comment l'acteur a obtenu tôt les informations d'exploitation. Il a trouvé plusieurs exploits de démonstration le 21 octobre à partir d'environ 0200 UTC, quelque 12 heures avant l'arrivée des correctifs, et conseille aux organisations de chercher une activité suspecte remontant au moins au 17 octobre.

En Grande-Bretagne, le nombre de services débranchés est devenu clair jeudi. La ministre de la Technologie, la baronne Lloyd of Effra, a dit à la Chambre des lords que 32 services gouvernementaux sont indisponibles et quatre partiellement indisponibles, en grande partie à cause de mesures de précaution prises pendant l'application des mises à jour de sécurité. Downing Street a dit qu'aucun grand service essentiel ouvert au public n'est touché, que certains sites limités se sont éteints le temps des travaux, et que ces coupures ne signifient pas que les services ont été piratés. Le Centre national de cybersécurité a exhorté les organisations à passer à une version corrigée de PHP, ou à envisager de mettre leurs sites hors ligne si elles ne peuvent pas mettre à jour tout de suite, et a qualifié l'ampleur du problème de sans précédent. L'Office for Budget Responsibility a mis son site hors ligne, les pages de certains programmes de la BBC sont devenues indisponibles, et les conseils municipaux d'Oxford et d'Édimbourg ont débranché leurs sites mercredi.

La course au correctif s'est étendue à l'Asie jeudi, a rapporté Reuters. Le prêteur japonais Mitsubishi UFJ Financial Group a dit suspendre temporairement certains services internet en raison de mesures d'urgence. Le ministère japonais des Finances a lui aussi suspendu une partie du contenu et des services en ligne de son site pendant la mise en place de mesures de sécurité. Le ministère chinois de l'Industrie a exhorté les organisations et les utilisateurs à inspecter leurs systèmes immédiatement, à passer à la dernière version sûre de PHP, à renforcer la surveillance, et à changer rapidement comptes, mots de passe et clés. La Corée du Sud a relevé le niveau d'alerte cybersécurité du secteur privé et activé des mesures de réponse d'urgence, en citant un risque accru d'attaques.

Deux failles graves dans PHP, le logiciel qui fait fonctionner environ 70 pour cent des sites web du monde, ont été rendues publiques mercredi 21 octobre, et les propriétaires de sites se sont précipités pour installer des correctifs d'urgence. Les développeurs de PHP ont publié des versions mises à jour le même jour et demandé à tous les utilisateurs de mettre à jour immédiatement.

Les failles sont référencées CVE-2026-109618 et CVE-2026-109619, et les chercheurs les appellent ensemble php2shell. Toutes deux ont une gravité de 9,2 sur 10. PHP travaille en coulisses sur les serveurs, traite les formulaires et va chercher les informations pour les sites construits sur des plateformes comme WordPress, Drupal et Joomla.

Ce que font les failles

Les failles se situent dans la façon dont PHP gère les erreurs lorsqu'il traite des requêtes web. Si une requête est trop volumineuse et que PHP manque de mémoire, le logiciel ne libère pas la mémoire qu'il a tenté d'utiliser, a expliqué Cloudflare. Un attaquant qui manipule les données dans cette mémoire peut bloquer le processus, lire des informations sensibles sur le serveur ou exécuter son propre code sur la machine, le tout sans se connecter.

Wiz, la société de sécurité détenue par Alphabet, la maison mère de Google, a dit avoir démontré des attaques réussies contre des installations WordPress, Drupal et Joomla, et avoir pu lire des mots de passe et des identifiants dans la mémoire d'un serveur. L'unité Unit 42 de Palo Alto Networks a compté plus de 22,6 millions de systèmes exposés sur internet qui pourraient être vulnérables. Tous les sites PHP ne peuvent pas être exploités, car les configurations diffèrent, mais les développeurs ont dit que toutes les installations qui traitent des requêtes web sont à risque.

L'IA a trouvé les failles, une fuite a avancé le calendrier

La société Calif a trouvé la première faille à l'aide du modèle GPT-5.6 Sol d'OpenAI et l'a signalée à PHP le 11 août 2026, selon Reuters. Wiz a trouvé les failles de son côté et en a signalé une deuxième le 24 août 2026, elle aussi à l'aide de modèles d'IA. Les correctifs se préparaient en secret jusqu'à la fuite des détails sur le forum Hacker News, mardi 20 octobre 2026. Les développeurs ont alors avancé la publication d'un jour.

OpenAI a qualifié ces failles de l'un des problèmes de sécurité les plus lourds de conséquences de ces dernières années, et a dit avoir travaillé avec la Maison-Blanche, le bureau du directeur national du cyber et l'agence CISA pour que les consignes parviennent aux opérateurs de services essentiels. La Maison-Blanche a dit mercredi travailler à accélérer la diffusion du correctif et à protéger les réseaux américains.

Des gouvernements débranchent leurs sites plutôt que de risquer

La NSA, le FBI et CISA ont exhorté mercredi les organisations à appliquer le correctif aussitôt, et à mettre hors ligne les systèmes qui ne pouvaient pas être sécurisés rapidement. La NSA a dit que ce type de faille offre souvent à un attaquant un chemin direct vers le système de fichiers ou la base de données d'un serveur. Les agences cyber du Royaume-Uni, du Canada, de l'Australie et de l'Union européenne ont publié des avis similaires. Le gouvernement finlandais et la Chambre des représentants des Pays-Bas ont déconnecté des sites mercredi pendant la mise à jour.

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mettre à jour WordPress ou une autre application ne met pas à jour le PHP en dessous, donc les propriétaires doivent mettre à jour le paquet serveur lui-même, ou obtenir la confirmation de leur hébergeur. Cloudflare a dit avoir mis en place des règles de pare-feu pour protéger ses clients. Les experts de watchTowr et Sophos ont dit que des criminels discutaient déjà des failles et cherchaient des systèmes ouverts, même si aucune attaque réussie n'avait été confirmée mercredi après-midi.