PHP2Shell : deux failles critiques déjà exploitées sur 70 % du Web, ce qu'il faut vérifier maintenant

Deux failles critiques baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619) permettent à un attaquant non authentifié d'exécuter du code arbitraire sur un serveur PHP, avant même que l'application elle-même ne démarre. Notées 9,2 sur 10 par les développeurs PHP eux-mêmes selon Help Net Security, et jusqu'à 10,0 pour watchTowr Labs, elles touchent potentiellement 70 % du Web : WordPress, Drupal, Joomla, Nextcloud et phpMyAdmin tournent tous sur PHP.

L'affaire a circulé sous un titre accrocheur : une IA aurait détecté seule ces failles. La réalité, documentée par plusieurs laboratoires de sécurité, est plus nuancée et plus utile à comprendre si vous gérez un site. On fait le point sur ce qui est confirmé, sur ce qui relève du raccourci, et sur ce qu'il faut vérifier sur votre hébergement dès aujourd'hui.

01Ce que sont vraiment ces deux failles

CVE-2026-109618 et CVE-2026-109619 permettent à un attaquant distant, sans aucun identifiant, d'exécuter du code arbitraire sur un serveur, et cela se produit avant même que le code de l'application (votre thème WordPress, votre module Drupal) ne commence à s'exécuter. C'est ce qui rend le problème particulièrement sérieux : il ne dépend pas de la qualité du code que vous avez installé par-dessus PHP.

Des failles vieilles de plus de vingt ans

Selon GIGAZINE, les vulnérabilités affectent des versions de PHP remontant jusqu'à 2004. Elles ont été découvertes indépendamment en août 2026 par deux parties distinctes, et les correctifs n'ont été publiés que le 21 octobre, soit deux mois plus tard, le temps de coordonner la divulgation.

02Non, une IA n'a pas « découvert » la faille toute seule

C'est le point que l'article de Futura Sciences simplifie dans son titre. Les failles ont été trouvées par deux chercheurs humains, travaillant chacun de leur côté : Ryan Austin, de la société Calif, et l'équipe de la société de cybersécurité cloud Wiz. L'IA n'a pas agi en autonomie, elle a servi d'outil d'audit.

L'IA n'a pas trouvé la faille seule, elle a accéléré l'audit de code que des chercheurs humains menaient déjà.

Concrètement, Ryan Austin a utilisé le modèle GPT-5.6 Sol d'OpenAI pour l'aider dans ses recherches. Les équipes de Wiz, elles, ont combiné Gemini 4 Argon de Google, GPT-5.6 Sol et leur propre outil agentique interne, Wiz Atlas, selon GIGAZINE. C'est un cas concret de l'IA utilisée comme copilote d'audit de code, un usage qui se généralise dans la recherche en sécurité, mais qui reste encadré par un humain qui interprète et valide les résultats.

03Exploitée avant même d'être rendue publique

Le réseau de honeypots MadPot d'Amazon a enregistré une première tentative d'exploitation de PHP2Shell le 17 octobre 2026, soit quatre jours avant la divulgation officielle du 21 octobre, selon SOCRadar. Cela signifie qu'une partie des attaquants avait connaissance de la faille, ou l'avait identifiée elle-même, avant que les équipes de défense ne soient averties.

Après la divulgation, watchTowr a observé une exploitation active « in the wild » via ses propres honeypots. Notre article sur les millions d'attaques recensées par Cloudflare et celui sur les sites d'État mis à l'arrêt détaillent l'ampleur de cette vague.

04Un correctif existe, mais pas pour toutes les versions

Les quatre branches actives de PHP ont reçu un correctif le même jour. Les versions plus anciennes, elles, ne seront jamais corrigées officiellement, selon Snyk.

05Ce qu'il faut vérifier sur votre site, maintenant

Si vous gérez un site WordPress, Drupal, Joomla ou une installation Nextcloud, trois vérifications s'imposent cette semaine :

1. Connaître sa version de PHP

Sur un hébergement mutualisé, la version de PHP se consulte dans le tableau de bord de l'hébergeur (section « PHP » ou « Multi PHP Manager »). Si elle affiche 8.1, 8.0, 7.x ou moins, le site reste vulnérable sans solution de correctif officiel.

2. Vérifier si l'hébergeur a déjà patché

La plupart des hébergeurs mutualisés gèrent la mise à jour de PHP eux-mêmes et l'ont probablement déjà fait depuis le 21 octobre. Sur un VPS ou un serveur dédié géré en autonomie, la mise à jour est à votre charge et doit être traitée en priorité, pas en fin de sprint.

3. Surveiller les journaux après coup

Un pic de requêtes inhabituelles dans les logs serveur entre le 17 et le 21 octobre mérite un examen, compte tenu de la fenêtre d'exploitation documentée par SOCRadar et watchTowr.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo