Deux failles critiques dans PHP exploitées à grande échelle, Square Enix touché
Les vulnérabilités PHP2Shell, notées 9,2 sur 10, ont entraîné des millions de tentatives d'exploitation et des accès non autorisés chez Square Enix.
Deux vulnérabilités critiques dans PHP, baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619, permettent une exécution de code à distance. Selon kotaku.com, Cloudflare a recensé des millions de tentatives d'exploitation visant cette faille PHP au 22 octobre 2026.
Les deux failles PHP2Shell sont notées 9,2 sur 10 sur l'échelle CVSS. L'équipe Wiz Research, qui a découvert la vulnérabilité PHP, indique que l'intelligence artificielle facilite le développement et la montée en charge d'exploits complexes.
Au même moment, GitLab a signalé CVE-2026-110264, une faille d'exécution de code à distance notée 10 sur 10 sur l'échelle CVSS. Cette faille a été rapportée la veille de la publication de l'article, selon les éléments disponibles.
Les conséquences ont touché le secteur du jeu vidéo. Square Enix a fait état d'instances confirmées d'accès non autorisés par des tiers, et plusieurs applications Pokémon ont été mises hors ligne pour une maintenance d'urgence.
Un contexte déjà tendu
Dans les 10 heures précédant l'annonce publique de la vulnérabilité PHP, Cloudflare avait déjà observé des milliers de tentatives d'exploitation, un chiffre passé à des dizaines de milliers dans les 45 minutes suivant l'annonce. Deux des plus anciens jeux mobiles japonais doivent par ailleurs être définitivement arrêtés à la suite de la découverte de cette faille.
En bref
Qu'est-ce que la faille PHP2Shell ?
Il s'agit de deux vulnérabilités critiques dans PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance et sont notées 9,2 sur 10 sur l'échelle CVSS.
Quelles entreprises ont été touchées ?
Square Enix a confirmé des accès non autorisés par des tiers, et plusieurs applications Pokémon ont été mises hors ligne pour maintenance d'urgence.
Quelle est la gravité de CVE-2026-110264 signalée par GitLab ?
Cette faille d'exécution de code à distance est notée 10 sur 10 sur l'échelle CVSS.