PHP2Shell: des milliers de serveurs vulnérables, des attaques déjà tentées (update)
Malgré la publication de correctifs d’urgence, des milliers de serveurs restaient exposés aux vulnérabilités PHP2Shell le 22 octobre. Une analyse menée en Suisse en recensait plus de 23’000. Des tentatives d’exploitation ont par ailleurs été observées.
Mise à jour du 23 octobre 2026: Les vulnérabilités PHP2Shell mobilisent les administrateurs système. Partout dans le monde, des entreprises et des administrations ont mis à jour la version de PHP utilisée sur leurs serveurs afin de se protéger. L'entreprise Risikomonitor, spécialisée dans l'analyse automatisée des sites web, a examiné le 22 octobre près de 690’000 serveurs ayant un lien avec la Suisse. Elle a identifié un peu plus de 23’000 serveurs encore concernés par PHP2Shell, soit environ 3,5%. Le nombre réel de serveurs vulnérables pourrait toutefois être plus élevé, car il n'est pas toujours possible de déterminer la version de PHP installée.
Les données de VirusTotal vont dans le même sens. Le 21 octobre, son scanner a identifié plus de 5 millions de serveurs PHP dans le monde, mais n'a pu déterminer leur version exacte que pour un quart d'entre eux. Parmi les versions identifiables, celles de PHP arrivées en fin de vie étaient les plus répandues, avec plus de 700’000 serveurs concernés. Ces versions ne bénéficient donc d'aucun correctif d'urgence.
L'intelligence artificielle a joué un rôle important dans la découverte de ces vulnérabilités. La société de cybersécurité Wiz indique avoir utilisé plusieurs outils et modèles d'IA, notamment Gemini 4 Argon de Google et GPT-5.6 Sol d'OpenAI, pour identifier les failles, élaborer des scénarios d'exploitation et vérifier les correctifs. Parallèlement, le chercheur en sécurité Calif a identifié une vulnérabilité critique avec l'aide de GPT-5.6 Sol, dans le cadre de l'initiative «Patch the Planet» d'OpenAI. Selon Wiz, ces modèles ont considérablement facilité des recherches qui auraient autrement nécessité des efforts bien plus importants.
Aucune attaque ayant causé des dommages en lien avec PHP2Shell n'a été signalée à ce jour. En revanche, des tentatives d'exploitation ont bien été observées. Selon Bleeping Computer, qui cite Amazon Threat Intelligence, celles-ci auraient commencé quatre jours avant la publication des correctifs d'urgence. Plusieurs groupes de cybercriminels auraient ainsi testé différentes méthodes pour exploiter les failles, sans toutefois parvenir à leurs fins.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
News du 22 octobre 2026: Deux failles critiques dans PHP provoquent une mobilisation mondiale
L’alerte s’est propagée comme une traînée de poudre le 21 octobre: deux failles critiques dans PHP menacent la sécurité de nombreux sites web à travers le monde. L'Office fédéral de la cybersécurité (OFCS), entre autres, a averti que ces vulnérabilités pourraient permettre à des attaquants d'exécuter du code malveillant sur les serveurs concernés sans authentification. L'autorité suisse a recommandé l'installation immédiate des correctifs.
La menace s'est rapidement concrétisée sous la forme de tentatives d'exploitation massives. Le directeur général de Cloudflare, Matthew Prince, a indiqué sur X que son entreprise avait observé des milliers de tentatives avant la divulgation publique des failles, puis des dizaines de milliers dans les 45 minutes suivantes. Leur nombre a ensuite atteint plusieurs millions. Ces chiffres ne correspondent toutefois pas à des intrusions réussies, dont l'ampleur reste difficile à évaluer.
De nombreux sites débranchés par précaution
Face au risque, de nombreuses organisations ont préféré suspendre leurs services web. En Suisse romande, les sites des universités de Genève et de l’EPFL ont par exemple été temporairement débranchés, a observé la rédaction d’ICTjournal. Des administrations et établissements publics ont pris des mesures similaires ailleurs en Europe, notamment en France, en Allemagne et aux Pays-Bas, rapporte Reuters.
Ces interruptions résultent principalement de décisions préventives, et non de compromissions avérées. Elles illustrent les arbitrages auxquels sont confrontés les responsables informatiques lorsqu'une vulnérabilité critique est divulguée avant que tous les systèmes aient pu être sécurisés.
Les deux vulnérabilités, surnommées «PHP2Shell» et référencées CVE-2026-109618 et CVE-2026-109619, ont chacune reçu un score de gravité de 9,2 sur 10. Dans un billet publié le 21 octobre, la PHP Foundation reconnaît qu'un problème à l'origine de la première faille avait déjà été identifié en 2024, sans que son potentiel d'exploitation soit alors pleinement compris. L'organisation attribue le retard de sa correction à des difficultés de prise de décision et au manque de ressources de son équipe de sécurité.
Les développeurs de PHP ont publié les versions corrigées 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Ils soulignent qu'aucune mesure d'atténuation ne remplace complètement la mise à jour. L'OFCS rappelle par ailleurs que le risque concerne aussi les applications internes, les interfaces d'administration et les équipements embarquant PHP.
