PHP2Shell : Cloudflare recense des millions d'attaques, la Corée alerte 110 000 serveurs exposés

Les deux failles critiques du cœur de PHP, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619, notées jusqu'à 9,2/10 sur l'échelle CVSS v4.0 selon Qualys), continuent de faire des dégâts. Le 22 octobre 2026, le PDG de Cloudflare indique que les tentatives d'exploitation sont passées de quelques milliers avant la divulgation publique à des millions en quelques heures, selon Cointelegraph qui relaie Reuters. En Corée du Sud, l'agence KISA évoque environ 110 000 serveurs exposés.

On avait déjà parlé sur ce blog de la première alerte PHP2Shell, quand des sites d'État s'étaient coupés par précaution. Quatre jours plus tard, la faille n'a rien perdu de son actualité : elle s'est transformée en vague mondiale d'exploitation active, surveillée en direct par plusieurs agences de cybersécurité nationales. Et un détail change la donne pour la suite : une des deux failles a été repérée par une intelligence artificielle, avant qu'aucun attaquant humain ne la trouve.

01Une vague d'attaques mondiale, chiffrée heure par heure

Le récit que fait Cloudflare de la propagation des attaques donne la mesure du phénomène : des tentatives déjà en cours avant même l'annonce publique, puis une multiplication par dizaines de milliers en 45 minutes, par centaines de milliers en deux heures, pour atteindre des millions au total. Ce n'est pas une estimation vague, c'est un décompte en temps réel sur l'infrastructure d'un des plus gros réseaux de diffusion de contenu au monde.

En France, la réaction a été radicale. France 3 Régions rapporte que tous les sites internet des préfectures, dont les huit de Bourgogne-Franche-Comté, ainsi que Météo-France, ont été désactivés le 21 octobre 2026 sur recommandation de l'ANSSI. Mieux vaut un site d'État hors ligne quelques heures qu'une exécution de code à distance non authentifiée sur un serveur public.

Même tonalité d'urgence en Asie et en Europe. Le centre national de cybersécurité suisse (NCSC) confirme avoir connaissance de signalements d'exploitation active. Au Japon, le JPCERT/CC et l'IPA ont émis des alertes officielles sur les deux CVE. En Corée du Sud, la KISA exhorte les administrateurs à patcher immédiatement, avec environ 110 000 serveurs potentiellement exposés.

02Le fait inédit : une IA a trouvé la faille avant les attaquants

Ce qui distingue vraiment PHP2Shell des précédentes alertes critiques du genre, c'est son origine. Selon ppc.land, la société de sécurité Calif a découvert la première des deux failles le 1er août 2026 et l'a signalée à l'équipe PHP le 11 août, avec l'aide du modèle GPT-5.6 Sol d'OpenAI, dans le cadre d'un audit du code source de PHP financé par l'initiative « Patch the Planet » de l'entreprise. La seconde faille, elle, a été trouvée indépendamment par la société Wiz le 19 août et signalée le 24 août.

Ce que dit OpenAI de cette découverte

"Over the past two months, we have been leading a coalition to mitigate one of the most severe bugs in open source software found in recent memory, php2shell, found as part of our Patch the Planet initiative."

C'est ce qu'a écrit Greg Brockman, cofondateur d'OpenAI, sur X le 21 octobre 2026. Autrement dit : pendant deux mois, avant même la divulgation publique, une coalition pilotée par OpenAI a travaillé en coulisses pour préparer les correctifs et coordonner la réponse, avec un modèle d'IA comme outil de découverte initial plutôt qu'un chercheur humain isolé.

03Ce que ça change (ou pas) pour la sécurité des sites

Il serait tentant de conclure que l'IA a tout résolu. Ce n'est pas tout à fait ce que montrent les faits. GPT-5.6 Sol a aidé à repérer une faille avant que des attaquants ne la trouvent, ce qui a laissé deux mois à la coalition pour préparer les correctifs avant la divulgation. Mais une fois l'annonce publique faite le 20 octobre, la course est redevenue entièrement humaine : les attaquants ont scanné et exploité en quelques heures, à une vitesse que Cloudflare a pu chiffrer précisément.

Le vrai changement n'est donc pas magique, il est méthodologique : auditer en amont le code des briques critiques de l'écosystème open source avec des modèles capables de lire des millions de lignes, pour gagner du temps sur les attaquants plutôt que de courir après eux. On avait déjà vu une IA jouer un rôle défensif ailleurs, par exemple avec Gemini 4 Argon chez Google DeepMind, réservé d'abord aux défenseurs cyber. PHP2Shell est le premier cas documenté où ce rôle s'applique directement au cœur d'un langage serveur utilisé par une majorité du web.

04La check-list pour vérifier votre site

Si vous gérez un site ou un serveur sous PHP, la question n'est plus de savoir si la faille est sérieuse, mais si vous êtes à jour. Les versions corrigées sont disponibles depuis le 21 octobre 2026.

Trois réflexes concrets : vérifiez la version PHP de votre hébergement (souvent visible dans le panneau d'administration ou via phpinfo()) et mettez-la à jour vers une des versions du tableau ci-dessus. Si la mise à jour immédiate n'est pas possible, isolez le serveur ou passez-le derrière un pare-feu applicatif en attendant. Et si votre site a déjà connu une panne liée à PHP ces derniers mois, relisez notre récap sur Orange, Revolut et PHP : les incidents en cascade sur cette brique technique ne sont pas nouveaux, ils deviennent juste plus visibles.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo