Deux vulnérabilités critiques découvertes dans PHP, un langage de programmation largement utilisé pour les sites et applications web, ont déclenché une mobilisation internationale des autorités de cybersécurité et des grandes entreprises technologiques. Connues collectivement sous le nom de PHP2Shell, ces failles pourraient permettre à des attaquants d’exécuter du code malveillant à distance sur certains serveurs. Le 21 octobre 2026, plusieurs gouvernements ont publié des avertissements urgents, tandis que Google, OpenAI, Amazon et Cloudflare ont présenté leurs travaux de recherche, de détection ou de protection. L’ampleur potentielle du problème tient notamment à la présence de PHP dans de nombreuses infrastructures accessibles sur Internet.

Deux vulnérabilités critiques dans un logiciel largement utilisé

PHP est un langage de programmation open source utilisé pour développer et faire fonctionner des sites Internet ainsi que des applications web. Sa présence dans une grande variété de services explique l’attention accordée aux vulnérabilités récemment découvertes. Les failles regroupées sous le nom PHP2Shell concernent des systèmes qui utilisent ce logiciel dans des conditions permettant leur exploitation. Les chercheurs indiquent qu’un attaquant pourrait exécuter des instructions malveillantes à distance sur un serveur vulnérable. Une telle situation pourrait exposer des informations sensibles ou compromettre les ressources informatiques associées au service concerné.

La portée potentielle de ces vulnérabilités ne signifie cependant pas que tous les sites utilisant PHP sont automatiquement exposés. Les configurations techniques et les versions installées jouent un rôle dans l’identification des systèmes concernés. Cette distinction est importante, car la popularité du langage peut donner une impression de vulnérabilité généralisée. Les avertissements officiels portent sur les installations affectées et sur la nécessité de leur appliquer les correctifs disponibles. Les administrateurs doivent donc déterminer si leurs environnements sont concernés avant de procéder aux mesures appropriées, sans supposer que chaque application PHP présente exactement le même niveau d’exposition.

Les conséquences envisagées par les chercheurs dépassent la simple perturbation de l’affichage d’une page. Une exécution de code à distance pourrait permettre à un acteur malveillant d’interagir avec des éléments internes du serveur. Selon les autorités américaines, les fichiers et les bases de données figurent parmi les ressources susceptibles d’être exposées. La gravité du problème repose donc sur les accès potentiellement obtenus après une exploitation réussie. Les informations publiées décrivent ces risques techniques, mais ne fournissent pas de bilan mondial confirmé des organisations effectivement compromises par les deux vulnérabilités.

La NSA demande des mises à jour de sécurité urgentes

Aux États-Unis, la National Security Agency a publié mercredi un avertissement destiné aux organisations utilisant PHP. L’agence a demandé aux responsables informatiques de préparer les mises à jour nécessaires pour corriger les vulnérabilités. Elle a souligné que les failles pourraient offrir aux attaquants un accès direct aux systèmes de fichiers et aux bases de données des serveurs. Cette possibilité justifie, selon son avis, une réponse rapide des organisations concernées. La recommandation vise principalement les exploitants d’infrastructures informatiques, qui disposent des moyens techniques nécessaires pour identifier les versions installées et organiser leur correction.

La NSA a également présenté une mesure plus restrictive lorsque les mises à jour immédiates ne sont pas possibles. Dans ce cas, elle recommande de mettre les systèmes affectés hors ligne jusqu’à ce que les vulnérabilités soient entièrement traitées. Cette orientation souligne la gravité accordée au risque d’exploitation à distance. Elle ne constitue toutefois pas une instruction de fermer tous les sites fonctionnant avec PHP, indépendamment de leur situation. La recommandation concerne les systèmes touchés dont les responsables ne peuvent pas appliquer rapidement les protections nécessaires.

Le Federal Bureau of Investigation a lui aussi diffusé un avertissement concernant PHP2Shell. Le FBI a indiqué que des acteurs malveillants pourraient exploiter ces vulnérabilités pour exécuter du code à distance, avec des conséquences possibles pour les données sensibles et les réseaux informatiques. Les communications de la NSA et du FBI convergent ainsi sur la nature du danger : l’exploitation d’une faiblesse logicielle pourrait ouvrir un accès non autorisé à des ressources normalement protégées. Leurs alertes renforcent la nécessité de traiter les installations concernées comme une priorité opérationnelle.

Les autorités internationales coordonnent leurs avertissements

La mobilisation ne se limite pas aux États-Unis. Les organismes compétents de Singapour, du Royaume-Uni, d’Australie et du Canada ont également publié des alertes sur les vulnérabilités. L’Union européenne, par l’intermédiaire de son agence de cybersécurité, a diffusé un avertissement comparable. Cette réaction internationale reflète la diffusion de PHP dans des environnements informatiques situés dans de nombreux pays. Les organisations concernées peuvent appartenir à différents secteurs, notamment les entreprises privées, les administrations publiques et les fournisseurs de services accessibles sur Internet.

Les avertissements soulignent un risque commun malgré la diversité des systèmes concernés. Une faiblesse présente dans un composant logiciel largement utilisé peut toucher des organisations sans relation directe entre elles. Les responsables de sécurité doivent alors examiner leurs propres infrastructures plutôt que considérer le problème comme limité à un fournisseur ou à un territoire. Les communications mentionnées dans l’article insistent sur l’identification des installations vulnérables et sur l’application des corrections. Elles ne fournissent cependant pas de statistiques permettant de mesurer précisément le nombre de serveurs affectés dans chaque pays.

Amazon détecte des tentatives avant la divulgation publique

Amazon a communiqué un élément particulièrement important concernant le calendrier des événements. Son équipe de renseignement sur les menaces a détecté des tentatives d’exploitation des vulnérabilités avant leur divulgation publique. Ces observations ont été réalisées grâce à MadPot, un système de détection qui surveille les activités suspectes visant des infrastructures accessibles depuis Internet. Les résultats suggèrent que certains acteurs malveillants essayaient déjà de tirer parti des failles avant que les informations correspondantes soient officiellement rendues publiques.

Amazon a toutefois précisé qu’elle ignorait comment les attaquants avaient obtenu des renseignements sur les vulnérabilités avant leur divulgation. Cette incertitude empêche de déterminer, à partir des informations disponibles, l’origine exacte des connaissances utilisées dans les tentatives détectées. L’entreprise n’a pas établi dans cette communication de chaîne complète expliquant leur circulation. Il convient également de distinguer la détection de tentatives d’exploitation de la confirmation d’une compromission réussie. Les observations de MadPot documentent une activité suspecte antérieure à l’annonce publique, sans constituer à elles seules un bilan des dommages éventuellement causés.

Ces constatations ajoutent une dimension temporelle au problème de sécurité. Les organisations ont besoin de correctifs pour protéger leurs systèmes, mais des tentatives peuvent apparaître avant que les vulnérabilités soient largement connues. La publication coordonnée des informations et la disponibilité des mises à jour deviennent alors des éléments essentiels de la réponse. Dans le cas de PHP2Shell, les observations rapportées par Amazon montrent pourquoi les équipes de cybersécurité ont accordé une attention particulière à la période précédant l’annonce officielle.

Google mobilise Wiz et Gemini pour analyser les failles

Google a présenté le rôle de ses équipes et de ses outils d’intelligence artificielle dans les recherches concernant les vulnérabilités. Selon l’entreprise, son unité de cybersécurité Wiz a utilisé des modèles d’IA pour contribuer à la découverte et à l’analyse des problèmes. Gemini, son système d’intelligence artificielle, a également participé aux travaux destinés à évaluer les failles, à tester des attaques potentielles et à vérifier les correctifs de sécurité. Ces contributions concernent plusieurs étapes du processus, depuis l’investigation technique jusqu’à l’examen des solutions proposées.

L’utilisation de l’intelligence artificielle dans ces travaux ne signifie pas que les modèles ont agi indépendamment de toute intervention humaine. Les informations publiées présentent leur contribution dans le cadre d’activités menées par des équipes spécialisées. Les modèles ont été mobilisés pour assister les recherches et les vérifications, sans que Google fournisse dans cet article une mesure précise du temps économisé ou du nombre de vulnérabilités découvertes par chaque outil. La communication met surtout en évidence l’intégration de capacités d’IA aux méthodes employées par les professionnels de la sécurité informatique.

OpenAI décrit deux mois de préparation coordonnée

OpenAI a également indiqué que des chercheurs travaillant avec ses modèles d’intelligence artificielle avaient contribué à découvrir des vulnérabilités critiques dans PHP. L’entreprise affirme avoir consacré les deux mois précédents à la coordination d’une coalition réunissant des responsables de maintenance logicielle, des chercheurs en cybersécurité et des fournisseurs de solutions de protection. L’objectif était de préparer les corrections et les mesures défensives avant la divulgation publique. Cette démarche associe la recherche sur les failles à leur traitement opérationnel, afin que les organisations disposent de moyens de protection lorsque les informations deviennent accessibles.

L’entreprise a décrit PHP2Shell comme l’un des problèmes de sécurité les plus importants de ces dernières années. Cette appréciation reflète son évaluation de la gravité des vulnérabilités et de leur portée potentielle. OpenAI a également souligné une double conséquence du développement de l’intelligence artificielle avancée. Les mêmes capacités capables d’aider des chercheurs à identifier des faiblesses dans des logiciels largement utilisés pourraient aussi être exploitées par des cybercriminels. La communication présente donc l’IA comme un outil contribuant à la défense, tout en reconnaissant les risques liés à un usage malveillant.

Les travaux mentionnés par Google et OpenAI illustrent des contributions complémentaires à la gestion de PHP2Shell. Les informations disponibles ne permettent pas d’attribuer exclusivement la découverte des deux vulnérabilités à une seule entreprise ou à un seul modèle. Elles décrivent plutôt des activités de recherche, de vérification et de coordination impliquant plusieurs organisations. Cette distinction permet de comprendre la nature collective de la réponse sans extrapoler sur les performances individuelles des systèmes d’intelligence artificielle utilisés.

Cloudflare déploie des protections pour les sites concernés

Cloudflare a annoncé avoir mis en place des protections contre PHP2Shell au moyen de son pare-feu applicatif web. Ces mesures visent à bloquer certaines requêtes malveillantes ciblant les systèmes affectés. Elles constituent une couche de défense supplémentaire pendant que les organisations identifient leurs installations vulnérables et appliquent les mises à jour logicielles. L’annonce ne présente pas ces protections comme une solution remplaçant définitivement les correctifs PHP. Leur fonction consiste à réduire l’exposition aux attaques dans le cadre d’une réponse plus large.

Les correctifs PHP deviennent la priorité des administrateurs

L’équipe de développement de PHP a publié des corrections de sécurité, et les autorités demandent aux exploitants de sites d’identifier les versions concernées pour les mettre à jour rapidement. Les alertes internationales, les observations d’Amazon et les contributions de Google, OpenAI et Cloudflare montrent les différentes dimensions de la réponse à PHP2Shell. L’enjeu immédiat reste la protection des serveurs vulnérables, tandis que cet épisode souligne l’importance croissante de l’intelligence artificielle dans la recherche et le traitement des failles logicielles.