PHP2Shell : l’IA découvre des failles critiques dans 70 % des sites web
Des failles de sécurité critiques ont été révélées dans le cœur du langage PHP, un pilier du web qui soutient environ 70 % des sites en ligne. Selon Wiz Research, ces vulnérabilités, classées avec une sévérité CVSS de 9,2, permettaient à des attaquants non authentifiés d’exécuter du code sur les serveurs affectés, que ce soit sur WordPress, Drupal ou Joomla.
Ce qui rend cette découverte particulière, c’est la méthode employée. Les chercheurs ont utilisé des modèles d’intelligence artificielle de pointe pour passer au peigne fin du code de PHP. Ces problèmes de sécurité, qui relèvent de la gestion de la mémoire, étaient enfouis depuis des décennies, mais leur exploitabilité concrète a nécessité une chaîne d’étapes si complexe que seuls ces modèles d’IA ont permis de la rendre pratique. Wiz a d’ailleurs confirmé que le correctif pour ces failles, regroupées sous deux CVE (CVE-2026-109618 et CVE-2026-109619), est disponible depuis le 21 octobre 2026.
Ces découvertes rappellent des précédents majeurs de l’histoire du numérique. On pense immédiatement à Heartbleed en 2014, qui avait exposé la fragilité des infrastructures partagées, ou encore à Log4Shell en 2021, montrant à quel point les dépendances logicielles peuvent créer des failles généralisées. Wiz estime que PHP2Shell pourrait marquer un tournant similaire à celui de l’IA, car le temps et l’expertise requis pour trouver ces failles diminuent drastiquement.
L’impact sur l’écosystème web
Le danger ne réside pas dans l’application qui tourne sur PHP, mais dans le moteur lui-même. Une faille au cœur du langage peut compromettre des sites pourtant bien sécurisés au niveau de leur propre code. Les failles identifiées — comme les problèmes d’utilisation après libération de mémoire (use-after-free) — permettent soit la divulgation de mémoire interne du processus, soit l’exécution de code à distance (RCE). Ce mémoire interne peut, par exemple, contenir des clés d’API ou des jetons d’authentification.
Pour illustrer, Wiz a démontré la possibilité d’exécuter du code à distance sans aucune forme d’authentification sur des déploiements de WordPress. Les chercheurs ont ainsi prouvé que l’on peut naviguer des vulnérabilités structurelles pour atteindre un niveau de contrôle sévère.
Le tableau suivant détaille les impacts démontrés pour les cibles choisies par Wiz, bien que l’exploitation ne nécessite pas l’utilisation de ces systèmes de gestion de contenu :
| Tracking ID | Bug | Ce qu’un attaquant peut accomplir | Ce que nous avons démontré |
|---|---|---|---|
| CVE-2026-109618 | Upload-progress unserializer use-after-free | Divulgation de mémoire du processus à distance | Divulgation non authentifiée de la mémoire du worker PHP |
| CVE-2026-109619 | Fatal-error backtrace use-after-free | Confusion de type OPcache | RCE pré-authentification sur Drupal |
La course à la sécurité à la vitesse des machines
Ce phénomène de rapidité est de plus en plus visible dans la cybersécurité. Google Cloud, par exemple, met en avant son agent de sécurité CodeMender, qui utilise des modèles comme Gemini 4 Argon pour trouver et réparer des failles au rythme des commits automatiques. Cette approche est nécessaire car les revues humaines peinent à suivre la cadence des systèmes autonomes.
Ce besoin de vitesse est amplifié par d’autres menaces. On observe d’ailleurs que des attaques de type LLMjacking, où des acteurs malveillants détournent des accès aux modèles d’IA pour exploiter des ressources coûteuses, représentent un risque financier notable pour les entreprises, selon The Hacker News.
Face à ce rythme, des solutions comme Wiz AI SAST arrivent sur le marché. Elles ne se contentent pas de scanner selon des règles préétablies ; elles analysent la manière dont l’application se comporte réellement. En corrélant les découvertes de code avec ce qui tourne en production sur le graphique de sécurité de Wiz, les équipes de sécurité peuvent enfin savoir quelles vulnérabilités sont réellement critiques, sans devoir gérer manuellement la non-déterminisme inhérent aux grands modèles de langage.
Sources
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog, wiz.io
- Wiz AI SAST: AI Code Security With Code-to-Cloud Context | Wiz Blog, wiz.io
- Helping you build and defend at machine-speed in the agentic era, Google Cloud, 4 novembre 2026
- Google Warns LLMjacking Attacks Are Costing Some Enterprises Up to $1 Million in Cloud Charges, The Hacker News, 3 novembre 2026
- How Cisco defends at machine speed with OpenAI, OpenAI, 3 novembre 2026
Crédits photo
- Image en une : Client Project Hashcat Testing With an AMD Epyc Supermicro Nvidia GPU Server Using Proxmox…, par Lawrence Systems, CC BY 3.0, via Wikimedia Commons (recadrée)
- Image dans l’article : Client Project Hashcat Testing With an AMD Epyc Supermicro Nvidia GPU Server Using Proxmox…, par Lawrence Systems, CC BY 3.0, via Wikimedia Commons (recadrée)
