« PHP2SHELL : LA FAILLE QUI MENACE 70 % DES SITES WEB ÉTAIT CONNUE DEPUIS 2024 »
PHP fait tourner environ 70 % des sites web dans le monde, de WordPress aux boutiques en ligne, en passant par des services publics. Ce mercredi 21 octobre, ses développeurs ont publié des correctifs d’urgence pour deux failles notées 9,2 sur 10 en gravité. Elles permettent à un attaquant de prendre le contrôle d’un serveur à distance, sans mot de passe. Et la PHP Foundation reconnaît elle-même que l’une d’elles avait été repérée il y a deux ans.
📍 En 2024, lors d’un audit externe financé par l’État allemand, un développeur de PHP avait détecté les premiers signes du problème. Mais aucune méthode d’attaque concrète n’avait été démontrée, et l’équipe de sécurité, réduite, n’a pas réussi à s’accorder sur un correctif. Le chantier est resté bloqué pendant des mois.
📍 En août 2026, des chercheurs assistés par l’IA (OpenAI, Calif et Wiz, dans le cadre du programme « Patch the Planet ») ont transformé ce soupçon en attaque fonctionnelle. Un correctif a alors été préparé en secret pendant deux mois, avec une publication prévue le 22 octobre.
📍 Puis tout a déraillé. Le 20 octobre, les références de la faille fuitent en ligne. Le soir même, la société Calif publie par erreur une vidéo de son attaque. Le 21 au matin, l’entreprise Chainguard rompt l’embargo et diffuse le correctif plus de six heures avant tout le monde. PHP a dû avancer la publication en urgence, alors que des tentatives d’attaque étaient déjà observées.
📍 Par précaution, plusieurs institutions ont mis leurs sites hors ligne, le temps d’appliquer la mise à jour. En France, l’ANSSI a fermé des sites web publics, selon BFM Business.
🗣️🔥 La PHP Foundation parle d’un « échec structurel », dû à son processus de décision et à son manque de moyens. Elle rappelle que la sécurité d’un langage qui fait tourner banques, boutiques et administrations repose sur un petit groupe de développeurs, et appelle les entreprises et les États à financer ce travail.
📍 Pour rappel : les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Si vous gérez un site, vérifiez auprès de votre hébergeur que la mise à jour est appliquée. Non, Internet n’est pas « paralysé » : les sites fermés le sont volontairement, le temps de corriger.
