Failles PHP trouvées avec l’aide de l’IA : pourquoi des sites ont été coupés, et ce qu’une ETI doit vérifier

25 octobre 2026 · 7 min de lecture

Le 21 octobre 2026, PHP, langage qui fait tourner une grande partie du web, a corrigé en urgence deux failles critiques mises au jour avec l’aide de modèles d’IA. Des administrations et de grands sites ont préféré couper leurs services le temps de corriger. Pour une ETI, la question est simple : où utilise-t-elle PHP ?

Que s’est-il passé ?

Le 20 octobre, l’équipe de PHP a annoncé une version de sécurité critique pour le lendemain, avec deux failles notées 9,2 sur 10. Son avis du 21 octobre porte les numéros CVE-2026-109618 et CVE-2026-109619 : elles permettent d’exécuter du code à distance et concernent, selon php.net, toutes les installations PHP qui répondent à des requêtes web. Des sociétés de sécurité les ont baptisées « PHP2Shell ».

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour officielles, hormis des correctifs minimaux pour 7.4, 8.0 et 8.1. php.net décrit des atténuations provisoires, en précisant qu’elles ne rendent pas une installation sûre.

Le CERT-FR a publié le même jour l’alerte CERTFR-2026-ALE-014. Il compte parmi les versions affectées toutes les 5.x, 7.x, 8.0 et 8.1, et recommande d’isoler les systèmes concernés en attendant le correctif. Le 22 octobre, il a ajouté avoir connaissance de preuves de concept d’exploitation pour les deux failles, sur des déploiements particuliers.

Sur l’exploitation, les sources divergent. Selon Fortune, Amazon Web Services a observé des tentatives avant la publication, l’information ayant fuité, puis une exploitation large ; Cloudflare a compté des dizaines de milliers de tentatives dans les 45 minutes. Selon Selectra, qui cite Frandroid, Sophos n’avait encore détecté aucune attaque réelle le 21 octobre à 16 h 20.

Pourquoi des services ont-ils été coupés par précaution ?

La faille est dans le moteur de PHP lui-même : selon Wiz et Tom’s Hardware, un site peut être exposé même si son propre code ne contient aucune erreur. La NSA a conseillé de mettre hors ligne les systèmes qui ne pouvaient pas être mis à jour tout de suite, selon The National, et le NCSC britannique de l’envisager, selon Paubox.

Selon The National, les Pays-Bas, la Finlande, la France et l’Australie ont coupé temporairement plusieurs services publics le temps d’appliquer le correctif. En France, des sites de préfectures ont été mis hors ligne, selon le ministère de l’Intérieur cité par Reuters et repris par Selectra. La fondation Wikimedia a coupé plusieurs systèmes par précaution, selon ABC7 et Paubox. Au Japon, ANA, JR West et la banque MUFG ont suspendu des services, selon ABC7. En Belgique, la plateforme scolaire SmartSchool a été indisponible, selon La Libre. Selon Selectra, aucun des sites relevés n’a été signalé comme piraté.

Pour Charles Cuvelliez, professeur à l’ULB interrogé par La Libre, « aujourd’hui, on n’hésite plus à mettre des systèmes à l’arrêt par précaution ». Axios, repris par Yahoo, rapporte que des professionnels de la cybersécurité parlent de « Black October » pour la série d’attaques de ces derniers jours, qui dépasse PHP.

Quant au chiffre de 70 % souvent cité, il mesure la place de PHP, pas le nombre de sites attaquables : d’après W3Techs, cité par Selectra, 69,3 % des sites dont on connaît le langage côté serveur utilisent PHP. Wiz parle, lui, de 70 % de l’Internet touché.

Pourquoi une IA a-t-elle trouvé ce que les humains n’avaient pas vu depuis plus de dix ans ?

L’âge du défaut varie : 14 ans selon Greg Brockman, président d’OpenAI, cité par Fortune ; plus d’une décennie selon Wiz, qui juge touchées les versions jusqu’à PHP 5.4. D’après Tom’s Hardware, la fondation PHP connaissait le défaut de fond depuis 2024 sans avoir trouvé ni comment l’exploiter ni comment le corriger ; elle a demandé à la société Calif d’auditer PHP avec les outils d’OpenAI.

OpenAI indique que Calif a repéré une faille critique avec son modèle GPT-5.6 Sol, dans le cadre de son programme « Patch the Planet », et que Wiz a découvert et signalé les deux failles de son côté. Les dates divergent : 1er août pour Calif selon Fortune, 11 août selon Tom’s Hardware, septembre pour la version complète selon Simplewebsite ; Wiz date sa propre découverte du 19 août, avec Gemini 4 Argon, GPT-5.6 Sol et son outil Wiz Atlas.

Ce que l’IA a changé, selon les chercheurs de Wiz cités par ABC7 et Axios, ce n’est pas seulement de voir la faiblesse, mais de la transformer en attaque qui fonctionne : un travail technique si complexe qu’il avait jusque-là protégé le défaut. Selon Tom’s Hardware, OpenAI affirme que des développeurs avaient buté deux ans sur ce code, quand les chercheurs aidés de l’IA en ont montré l’exploitation en deux semaines.

Que change l’IA pour la défense ?

OpenAI présente l’épisode comme une « Defender’s Window », une fenêtre laissée aux défenseurs : à sa connaissance, l’IA a trouvé ces failles avant les attaquants. OpenAI reconnaît aussi, selon Simplewebsite, que les mêmes capacités peuvent aider des attaquants à mettre au point leurs attaques plus vite. Elle prévient, dans la traduction de Presse-citron : « Nous prévoyons une forte hausse de ces découvertes dans les mois à venir ». Dès le 23 octobre, php.net publiait d’ailleurs un nouvel avis d’information sur une autre faille.

Pour une ETI, la conséquence est pratique. Quand les premières tentatives suivent l’alerte en moins d’une heure, l’inventaire ne peut plus commencer ce jour-là : il faut savoir à l’avance où se trouve chaque composant, qui l’exploite et ce qui en dépend.

Quelle réponse propose Ekera ?

Devant une telle alerte, la première question est : où utilisons-nous ce composant, et qu’arrêterait sa coupure ? Ekera construit une cartographie du système d’information à partir de vos documents et de vos exports (schémas, contrats, inventaires, annuaire), sans accès direct à votre SI : applications, serveurs et dépendances, du processus au serveur. Quand les inventaires indiquent les logiciels installés, la carte permet de retrouver les applications qui reposent sur un composant comme PHP, et de lui demander en français ce qu’arrêterait leur coupure : les processus concernés et, si les données le permettent, une estimation en euros calculée par le moteur, jamais par le modèle.

À terme, la surveillance continue rapprochera les failles publiées et les fins de support de cette carte, pour signaler ce qui est concerné ; les décisions resteront humaines. L’exemple chiffré des Ateliers Morvan (exemple fictif) montre à quoi ressemble cette carte.

Sources

1. php.net, « Security advisory: Critical remote code execution vulnerabilities, update now », 21 octobre 2026
2. CERT-FR, alerte CERTFR-2026-ALE-014, « Multiples vulnérabilités dans PHP », 21 octobre 2026, mise à jour le 22 octobre
3. OpenAI, « Patch the Planet: global response coordination as agents uncover critical vulnerabilities », 21 octobre 2026
4. Wiz, « PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet », 21 octobre 2026
5. Fortune, sur la découverte de la faille et la course aux correctifs, 21 octobre 2026
6. The National, sur les services publics coupés et les consignes des agences, 21 octobre 2026
7. Selectra, sur les sites français mis à l’arrêt le 21 octobre, 21 octobre 2026
8. Tom’s Hardware, sur le rôle de GPT-5.6 Sol et le calendrier de la découverte, 22 octobre 2026
9. ABC7, sur les sites coupés dans le monde, 22 octobre 2026
10. Paubox, sur les sites mis hors ligne et les consignes du NCSC, 22 octobre 2026
11. La Libre Belgique, « Failles PHP : aujourd’hui, on n’hésite plus à mettre des systèmes à l’arrêt par précaution », 22 octobre 2026
12. Presse-citron, sur les sites publics paralysés et l’avertissement d’OpenAI, 22 octobre 2026
13. Axios, repris par Yahoo, « Black October: why bugs discovered by OpenAI tech are creating a cyber emergency », 22 octobre 2026
14. Simplewebsite, sur les deux failles corrigées et le rôle d’OpenAI, 23 octobre 2026

Article préparé avec l’agent de veille d’Ekera à partir des sources citées, relu et validé par l’équipe avant publication. Ekera cartographie le système d’information (SI) des ETI, chiffre ce qu’une attaque arrêterait et prépare les preuves NIS2. Découvrir Ekera.