2 failles de sécurité critiques ont été détectées dans PHP, qualifié de colonne vertébrale de l’internet. Deux autres failles de sécurité critiques ont été découvertes dans le langage de programmation PHP, utilisé par 70 % des sites web, et l’équipe de développement de PHP a annoncé, dans un communiqué du 20 octobre, la publication de correctifs d’urgence comblant ces failles. L’équipe a publié les correctifs d’urgence.
Les failles ont obtenu une note de 9,2 sur 10 dans le système CVSS v4.0, tandis que la société de cybersécurité watchTowr a évalué la menace à 10 sur 10. Les détails techniques et les plages de versions affectées n’ont pas encore été entièrement divulgués. Les chercheurs ont découvert les failles à l’aide du modèle GPT-5.6 Sol d’OpenAI ; Wiz, filiale de Google, a également confirmé la découverte de manière indépendante avec ses propres outils d’intelligence artificielle.
Il est allégué que les failles répertoriées sous les codes CVE-2026-109618 et CVE-2026-109619 permettent l’exécution de code à distance, et une vidéo de l’outil d’exploitation baptisé « PHP2Shell » prétend montrer que du code a pu être exécuté sur les plateformes suivantes. Les plateformes alléguées sont les suivantes : – WordPress 7.1.3 – MediaWiki 1.46.2 – phpBB 3.3.17 – Magento 2.4.9 – Joomla 6.2.0 – Laravel 13.36.0 – Symfony 8.1.9 – Drupal 11.4.10 – WHMCS 9.0.9
watchTowr a annoncé avoir reproduit au moins une des failles en laboratoire. La société de sécurité Sansec a quant à elle averti qu’une première vague d’attaques de masse pourrait commencer dans les 15 minutes suivant la publication des correctifs.
Terme : correctif
Un correctif est une mise à jour qui comble une erreur ou une faille de sécurité dans un logiciel.