Le Web est en état d’alerte maximale. Les créateurs de PHP, une technologie sous-jacente pour près de 70 % des sites internet, ont dévoilé une vulnérabilité critique qui a été baptisée PHP2Shell.
La faille peut être exploitée par des attaquants pour prendre le contrôle de n’importe quel système non corrigé, permettant de voler des informations ou de lancer des cyberattaques. Cette menace presque systémique a été découverte grâce à l’aide de l’IA.
Une IA a décelé une faille vieille de plusieurs années
La découverte de PHP2Shell est le fruit du travail de plusieurs chercheurs en sécurité, notamment de Calif et Wiz, qui ont utilisé des modèles d’IA comme GPT-5.6 Sol d’OpenAI et Gemini 4 Argon de Google.
En rapport avec la gestion de la mémoire par PHP, la faille PHP2Shell existait dans le code source depuis des années, mais elle était jugée trop complexe pour être exploitée. Elle est considérée comme la vulnérabilité de sécurité la plus grave jamais trouvée par une IA.
La vulnérabilité PHP2Shell regroupe plus exactement deux failles qui sont référencées CVE-2026-109618 et CVE-2026-109619. Elles sont détaillées sur GitHub avec des recommandations.
L’IA a permis d’automatiser l’analyse de milliers de lignes de code et de simuler des chaînes d’attaques extrêmement compliquées. Selon les chercheurs de Wiz, grâce à l’IA, » un seul chercheur a accompli en une semaine ce qui aurait auparavant nécessité des mois de travail à une équipe de classe mondiale. «
La réaction face à cette menace majeure
La découverte en août a immédiatement déclenché une réponse coordonnée et secrète. Un groupe de travail informel a été constitué, réunissant les chercheurs, les mainteneurs de PHP, des géants du cloud, ainsi que des entreprises de sécurité.
La priorité était de développer un correctif avant que des acteurs malveillants ne trouvent la faille. L’effort de correction a impliqué la modification de près de 200 fichiers et l’écriture de plus de 10 000 lignes de code, le tout dans la plus grande discrétion.
Cependant, une fuite de l’information sur Hacker News, moins de deux jours avant la date de publication prévue, a forcé une divulgation anticipée. La réaction des autorités a été immédiate et radicale.
La fameuse NSA (National Security Agency) conseille aux organisations de mettre leurs sites hors ligne si un correctif ne peut pas être appliqué sur-le-champ. Cette mesure, suivie par certaines instances en Europe et en France, illustre la gravité de la menace. Elle explique le pourquoi de sites soudainement en maintenance.
L’IA met la cybersécurité sous forte presssion
L’affaire PHP2Shell met en lumière le double visage de l’IA en matière de cybersécurité. Si elle est un outil formidable pour les défenseurs, elle l’est tout autant pour les attaquants.
OpenAI souligne que cette découverte » montre comment l’IA peut découvrir des failles de sécurité à l’échelle d’Internet, mais les mêmes capacités peuvent aussi aider les attaquants à développer rapidement des outils offensifs et des exploits « .
Avec l’IA, appliquer un correctif semble désormais être une urgence. La fenêtre entre la découverte d’une faille et son exploitation malveillante se réduit considérablement. Une véritable course contre la montre.