PHP2Shell : l'IA détecte deux failles RCE critiques dans PHP

Comment deux IA ont trouvé une faille vieille de dix ans dans PHP

PHP fait tourner environ 70 % des sites web actifs sur Internet, des petits blogs aux grandes plateformes de commerce en ligne. C'est dire l'ampleur du choc lorsque la PHP Foundation a publié, le 21 octobre 2026, des correctifs d'urgence pour deux vulnérabilités critiques baptisées collectivement PHP2Shell. Les identifiants CVE-2026-109618 et CVE-2026-109619 ont chacun reçu un score CVSS de 9,2, signe de la gravité de la menace : un attaquant non authentifié peut, en exploitant l'une ou l'autre de ces failles, exécuter du code arbitraire sur le serveur cible.

Ce qui rend cette découverte particulièrement remarquable, c'est qu'elle n'est pas le fruit d'un audit humain classique : ce sont des modèles d'intelligence artificielle qui ont débusqué les failles. OpenAI a annoncé que son modèle GPT-5.6 Sol, déployé dans le cadre du programme Patch the Planet, avait identifié l'une des deux vulnérabilités. L'équipe de recherche Wiz, désormais propriété de Google, a de son côté utilisé Gemini 4 Argon et GPT-5.6 Sol pour repérer les deux failles et les signaler à la PHP Foundation plusieurs semaines avant la divulgation publique. C'est la première fois qu'une paire de modèles d'IA de deux grands concurrents technologiques est créditée conjointement de la découverte d'une faille de cette magnitude dans une infrastructure aussi fondamentale du web.

Techniquement, CVE-2026-109618 et CVE-2026-109619 exploitent des erreurs dans la gestion de la mémoire du moteur Zend, le cœur de PHP. Les chercheurs de Wiz décrivent des conditions de dépassement d'entier dans le traitement des paramètres HTTP qui permettent de corrompre la pile d'exécution. Ces défauts de conception remonteraient à la version 5.4 de PHP, publiée en 2012, et ont donc traversé plus d'une décennie sans être détectés. La difficulté tient en partie à la complexité du code C sous-jacent, dense et peu documenté, difficile à analyser par des méthodes de fuzzing classiques.

Selon les données consolidées par Palo Alto Networks, environ 22,6 millions d'instances PHP seraient potentiellement vulnérables à l'échelle mondiale. Les chiffres varient selon les sources et les dates d'inventaire : Shattered.io estimait début novembre que 1,5 million des 2,6 millions d'hôtes scannés restaient sans correctif. Wiz signale en parallèle que ses honeypots ont détecté des tentatives d'exploitation automatisées dès les premières heures suivant la publication des CVE, ce qui suggère que des acteurs malveillants disposent déjà de preuves de concept opérationnelles.

La réaction des autorités a été rapide. La CISA américaine a émis une alerte prioritaire demandant aux organisations de patcher avant le 10 novembre 2026. Le Centre canadien pour la cybersécurité a émis un avis similaire le 22 octobre. En Europe, plusieurs CERT nationaux ont relayé l'alerte, sans qu'un délai formel ait été fixé à ce stade. Des sites gouvernementaux de plusieurs pays ont été signalés hors ligne dans les heures suivant la divulgation, selon Industrial Cyber, bien qu'il soit encore difficile de distinguer les attaques actives des mises hors ligne préventives.

Palo Alto Networks a documenté des tentatives d'exploitation en chaîne baptisées PHP2Shell : dans ce scénario, l'adversaire utilise CVE-2026-109618 pour obtenir un point d'appui sur le serveur, puis enchaîne avec l'injection d'un webshell PHP persistant pour maintenir l'accès. Les premières analyses font état de cibles dans les secteurs de l'hébergement, de l'e-commerce et des collectivités territoriales, des environnements qui utilisent massivement PHP sans nécessairement disposer de processus de mise à jour agiles.

Les versions corrigées sont désormais disponibles : PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Les branches 7.x et inférieures ne recevront pas de correctif officiel, étant hors support. Les gestionnaires de systèmes opérant sur ces versions obsolètes doivent envisager des mesures de mitigation supplémentaires : désactivation des fonctions d'exécution de code dynamique dans php.ini, déploiement de WAF avec des règles spécifiques à PHP2Shell, ou migration vers une version maintenue.

L'épisode relance un débat structurant dans le secteur : faut-il systématiser le recours à l'IA dans les programmes de divulgation responsable ? Les budgets des bug bounty sont limités, les chercheurs humains coûteux, et des pans entiers de code critique vieillissant restent peu audités. GPT-5.6 Sol et Gemini 4 Argon démontrent ici qu'un modèle de langage guidé par des prompts adaptés peut parcourir des millions de lignes de code C en quelques jours et identifier des patterns d'erreur que l'œil humain laisse passer. La question qui se pose désormais est la suivante : si l'IA défensive trouve ces failles, l'IA offensive les trouve aussi, et peut-être plus vite.

Pourquoi PHP2Shell marque un tournant dans la sécurité des infrastructures web

PHP2Shell illustre une réalité inconfortable : une part considérable de l'infrastructure web mondiale repose sur du code C vieux de plusieurs décennies, dont les couches profondes n'ont jamais fait l'objet d'un audit sérieux à l'ère des techniques modernes de fuzzing et d'analyse statique. Ce n'est pas une question de négligence : la fondation PHP est petite, ses contributeurs peu nombreux par rapport à la taille de l'écosystème. Le maintien d'un langage de cette ampleur avec des ressources humaines limitées est structurellement problématique.

La dimension IA comme outil de recherche offensive est tout aussi préoccupante. Si GPT-5.6 Sol et Gemini 4 Argon ont trouvé ces failles dans un cadre de divulgation responsable, rien n'empêche des acteurs malveillants, étatiques ou cybercriminels, de diriger les mêmes modèles vers les mêmes cibles avec des intentions différentes. La course entre IA défensive et IA offensive est désormais ouverte, et PHP2Shell en est la première illustration probante dans un cadre de vulnérabilité d'infrastructure critique.

Pour les entreprises, l'enjeu dépasse la simple application d'un patch. Il s'agit d'inventorier tous les environnements PHP en production, y compris les applications tierces (CMS, e-commerce, portails RH) qui peuvent embarquer leur propre version de PHP hors du contrôle direct du DSI. Des outils comme Tenable.io, Qualys ou Wiz proposent déjà des plugins de détection de PHP2Shell. Les intégrateurs et ESN qui maintiennent des parcs applicatifs pour des clients doivent considérer cette mise à jour comme prioritaire sur tout autre projet en cours.

La Commission européenne devrait être attentive à cet épisode dans le cadre de la révision de NIS2 et des travaux sur la Cyber Resilience Act : si une faille dans une brique open source aussi fondamentale peut rester invisible dix ans, les exigences de traçabilité et d'audit du code open source intégré dans des produits commerciaux méritent d'être renforcées. C'est précisément l'esprit de la SBOM (Software Bill of Materials) que la CRA cherche à imposer aux éditeurs commercialisant des produits à composants open source.

Ce qu'il faut retenir

• Patcher immédiatement vers PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ; les branches 7.x ne seront pas corrigées.
• L'IA (GPT-5.6 Sol, Gemini 4 Argon) a trouvé des failles vieilles de 10 ans que les audits humains avaient manquées — les outils offensifs disposent des mêmes capacités.
• 22,6 millions d'instances potentiellement vulnérables ; des tentatives d'exploitation automatisées sont déjà en cours selon les honeypots de Wiz.