Les failles PHP2Shell (CVE-2026-109618 et CVE-2026-109619) ont permis aux attaquants d’exécuter du code sur des serveurs non corrigés sans avoir besoin de se connecter. Ces deux failles critiques dans le langage PHP, qui fait tourner WordPress et des millions d’autres sites, ont fait l’objet d’exploitations actives en octobre 2026, un mois traditionnellement dédié à la cybersécurité.

Le problème, ce n’est pas tant la nouveauté des failles. Certaines étaient déjà dans le code PHP depuis plus d’une décennie. Ce qui a changé, c’est la rapidité avec laquelle les acteurs malveillants ont pu les identifier et les transformer en exploits fonctionnels. Wiz Research a rapporté que des modèles d’IA de pointe ont permis à un chercheur de réaliser en une semaine ce qu’une équipe de sécurité spécialisée mettrait des mois à faire.

L’agence américaine CISA a confirmé l’exploitation active de ces failles le 26 octobre 2026. Ironiquement, les détails de ces vulnérabilités avaient même été divulgués le 20 octobre, avant que les correctifs d’urgence ne soient publiés le 21 octobre. On assiste à ce schéma classique où la découverte, la divulgation et la correction sont trop éloignées dans le temps.

Le risque hérité et la dépendance au logiciel

PHP n’est pas le seul point faible. En parallèle, une faille dans le plugin Backuply pour WordPress a exposé plus de 600 000 sites via une injection SQL. Cela permettait aux attaquants, même avec un compte abonné basique, d’insérer des commandes malveillantes qui s’exécutaient lors d’une restauration de sauvegarde, donnant un accès total au site. Ce cas rappelle que même les outils censés protéger sont vulnérables. De plus, une attaque sur la chaîne d’approvisionnement a vu du code nuisible s’infiltrer dans une version de l’outil de développement open source LiteLLM, distribué via des canaux officiels comme PyPI.

Ces incidents, qu’ils touchent le cœur du langage, un plugin tiers ou un outil de développement, soulignent une dépendance croissante aux logiciels que les entreprises ne développent ni ne maîtrisent entièrement.

L’IA accélère le cycle d’attaque

L’adoption massive des applications génératives accentue cette pression. Selon JetBrains Research, près de quatre-vingt-dix pour cent des développeurs professionnels utilisent des agents d’IA dans leur travail au moins une fois par semaine. Cette adoption rapide, couplée à la capacité de l’IA à analyser et relier des vulnérabilités existantes, crée un écart dangereux. L’IA n’invente pas les bugs, mais elle réduit drastiquement le temps nécessaire pour les transformer en vecteurs d’attaque opérationnels.

Pour le propriétaire de site, la responsabilité est partagée. Le fournisseur d’hébergement gère la sécurité au niveau du serveur, mais il ne peut pas patcher un plugin CMS obsolète. Il faut donc maintenir à jour le cœur du CMS, les thèmes et les identifiants. Les tentatives d’exploitation de PHP2Shell ont commencé dès le 17 octobre 2026, prouvant que la protection n’est jamais assurée avant la mise à jour effective.

Il faut surveiller la vitesse à laquelle les équipes de développement parviennent à appliquer les correctifs, car le décalage entre la publication d’un patch et son déploiement sur chaque site est ce qui coûte cher en sécurité.

Sources

• Recent Cyber-attacks: What PHP2Shell Means for Your Website, domains.co.za
• Your website may be exposed to old flaws AI can now find, TechCentral, 9 novembre 2026
• heise+ | php2shell, Broccoli2Shell und „4“ zeigen, woran IT-Sicherheit krankt, Heise, 2 novembre 2026
• ANALYSIS: AI app boom exposes cracks in the code, ITWeb, 2 novembre 2026