Deux vulnérabilités critiques dans PHP, le langage open source vieux de plusieurs décennies qui fait tourner une large part du web, ont déclenché une course mondiale aux correctifs cette semaine, après que des chercheurs ont trouvé comment exploiter du code resté dormant pendant des années. Les failles sont baptisées PHP2Shell et suivies officiellement sous CVE-2026-109618 et CVE-2026-109619, selon TechCrunch.
La fondation PHP, qui maintient le logiciel, a publié mercredi des correctifs qui bouchent les trous sur les serveurs exposés au web. Elle avait déjà partagé les mises à jour sous embargo avec de grandes entreprises internet et des hébergeurs, une divulgation coordonnée qui a jusqu'ici permis au monde d'éviter une exploitation massive. Les chercheurs avertissent toutefois que de nombreux systèmes restent non corrigés et vulnérables, et que ce ne sera probablement pas la dernière alerte du genre.
Ce que PHP2Shell fait réellement
Les failles avaient été repérées pour la première fois en 2024, mais jugées inexploitables à l'époque, donc jamais corrigées. Des chercheurs ont récemment compris comment les transformer en arme et ont alerté la fondation PHP, qui a ensuite mené un processus de correction et de divulgation sous haute surveillance, rapporte TechCrunch.
- Exécution de code à distance : les attaquants peuvent viser un serveur depuis internet sans que la victime clique sur un lien ni ouvre un fichier.
- Accès non authentifié : aucun mot de passe ni identifiant n'est requis pour s'introduire.
- Contrôle total : un système non corrigé peut servir à installer un logiciel malveillant, voler des données ou garder un pied durable.
