Des préfectures françaises inaccessibles, le ministère belge des Affaires étrangères déconnecté, des hôpitaux néerlandais et des agences de santé écossaises hors ligne. Ce mercredi 21 octobre, le web occidental a subi un blackout préventif d’une ampleur inédite. Au cœur de cette panique numérique se trouve PHP2Shell, un duo de failles critiques (CVE-2026-109618 et CVE-2026-109619) frappant le langage de programmation qui propulse près de 70 % des sites internet mondiaux. Si la rustine logicielle est désormais déployée, le déroulement de cette crise révèle de profondes failles dans la coordination de l’écosystème open source et la gestion des divulgations.
💡 En résumé
- Le blackout : face au risque d’exécution de code à distance, l’ANSSI via le CERT-FR et le CERT-EU ont fermement recommandé d’isoler les serveurs vulnérables, forçant les gouvernements à couper le trafic de nombreux services publics.
- L’embargo brisé : prévue pour jeudi, la sortie du correctif a été précipitée après des fuites sur les réseaux sociaux et la publication unilatérale de binaires par l’entreprise Chainguard.
- Le rôle de l’IA : c’est un modèle d’intelligence artificielle d’OpenAI qui a permis de transformer un bug endormi depuis dix ans en exploit fonctionnel, forçant les mainteneurs à réagir.
L’intelligence artificielle au chevet d’un code vieux de dix ans
Le plus troublant dans l’affaire PHP2Shell n’est pas la nature de la vulnérabilité (une corruption de mémoire liée à la limite d’allocation (OOM) et un état global corrompu), mais bien sa longévité. Présent depuis plus de dix ans dans les méandres du moteur PHP, le problème avait été effleuré lors d’un audit commandité en 2024 par la Sovereign Tech Agency allemande. À l’époque, faute de preuve d’exploitabilité concrète, le dossier avait été relégué au bas de la pile des priorités.
💡 C’est quoi PHP2Shell ?
Le terme PHP2Shell désigne un duo de vulnérabilités critiques (CVE-2026-109618 et CVE-2026-109619) dissimulées au cœur de la gestion de mémoire du langage PHP. Concrètement, elles permettent à un pirate d’exécuter du code malveillant à distance sur un serveur web (RCE), et ce, sans avoir besoin de s’authentifier ou de posséder un mot de passe. Un véritable sésame pour compromettre intégralement une infrastructure.
Le réveil a été brutal en août 2026. L’entreprise de cybersécurité Calif, épaulée par le modèle GPT-5.6 Sol dans le cadre de l’initiative Patch the Planet d’OpenAI, a réussi à démontrer une exécution de code à distance inconditionnelle. La firme Wiz a confirmé indépendamment la gravité du vecteur d’attaque. Selon les chercheurs, l’intelligence artificielle de pointe a considérablement abaissé la barrière technique nécessaire pour transformer une faille structurelle complexe en arme redoutable, offrant heureusement une longueur d’avance aux défenseurs avant que les pirates ne s’en emparent.
Fuites, embargo brisé et débranchement préventif
Malgré cette avance, la publication du correctif s’est transformée en cauchemar logistique. La divulgation coordonnée était planifiée pour le jeudi 22 octobre. Or, le mardi après-midi, les identifiants CVE et de faux scores de criticité ont fuité sur les réseaux sociaux. S’en est suivie la diffusion accidentelle d’une vidéo de démonstration par la firme Calif, jetant de l’huile sur le feu.
Le coup de grâce a été porté mercredi matin à 07h41 UTC : comme le rapporte The Register, l’entreprise Chainguard a unilatéralement brisé l’embargo de sécurité en publiant ses propres images corrigées, des heures avant la sortie officielle. Cette décision, fustigée par la PHP Foundation, a offert aux attaquants l’opportunité de procéder à de la rétro-ingénierie (reverse engineering) sur le correctif binaire pour créer des exploits, alors que des millions d’utilisateurs attendaient encore la mise à jour.
Face à l’imminence de la menace sur un parc estimé par Palo Alto Networks à plus de 22,6 millions d’instances exposées, les agences étatiques n’ont eu d’autre choix que d’ordonner un débranchement physique ou réseau. En France, le ministère de l’Intérieur a coupé les sites des préfectures, tandis que le Canada, la Belgique (selon la RTBF), la Finlande ou encore le Royaume-Uni ont mis hors ligne des pans entiers de leurs infrastructures critiques.
L’aveu d’échec d’une fondation sous-financée
Une fois l’incendie maîtrisé avec la sortie des versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, la PHP Foundation a publié un post-mortem d’une rare franchise. L’organisation reconnaît publiquement une « défaillance structurelle ». La paralysie décisionnelle, liée à une culture interne du consensus absolu, et le manque cruel de bras pour intervenir sur les couches profondes du moteur (le Zend Engine) ont enlisé la résolution du bug pendant des mois.
La fondation annonce passer au vote majoritaire pour les urgences de sécurité et a recruté de nouveaux ingénieurs. Surtout, elle lance un appel pressant aux gouvernements, hébergeurs et grandes entreprises qui basent leur rentabilité sur ce langage open source gratuit : sans un financement massif et pérenne de la sécurité, le prochain blackout ne sera peut-être pas préventif.
🌐 L’actualité de l’open source et des technologies éthiques dans votre flux
🐘 Fediverse / Mastodon : suivez notre profil officiel @ depuis votre application ou votre instance favorite.
🦋 Bluesky (AT Protocol) : retrouvez nos actualités condensées et abonnez-vous à @goodtech.info.
