PHP2Shell : une faille critique de PHP corrigée le 21 octobre

Deux vulnérabilités critiques de PHP, baptisées PHP2Shell, ont été rendues publiques et permettent, sous certaines conditions, l'exécution de commandes à distance sur des serveurs sans identifiants. Chacune a été notée 9,2 sur 10 en gravité, selon aitimes.com.

L'équipe de développement de PHP a publié un correctif le 21 octobre, un jour avant la date prévue, après la fuite des détails des vulnérabilités et d'une démonstration d'attaque. Les failles ont été découvertes grâce à l'IA : la société de sécurité Calif a utilisé GPT-5.6 Sol et a signalé le problème en août, tandis que Wiz, propriété d'Alphabet, l'a confirmé indépendamment avec ses propres outils d'IA, Gemini 4 Argon de Google et GPT-5.6 Sol.

Plusieurs institutions ont pris des mesures. Des portails gouvernementaux néerlandais, le port de Rotterdam, la fédération nationale de football, de grands partis politiques et plusieurs hôpitaux ont mis des sites publics hors ligne. Plus de 100 municipalités néerlandaises, des gouvernements provinciaux et des autorités de gestion de l'eau utilisant les services de Notubiz ont été concernés. Au Danemark, des plateformes de communication scolaire ont été indisponibles, et la Finlande, l'Allemagne et la France ont temporairement bloqué des sites gouvernementaux.

L'université de Fribourg en Allemagne, l'université de Vienne en Autriche, la Wikimedia Foundation et l'Internet Archive ont également fermé certains sites ou systèmes. L'Allemagne et la Finlande ont indiqué que ces coupures étaient préventives et non causées par des tentatives d'exploitation ou des fuites de données. Cloudflare a déclaré avoir observé quelques premières tentatives d'attaque et déployé des protections pour ses clients, tandis que la CISA a affirmé n'avoir aucun cas d'exploitation confirmé au moment de l'annonce.

Selon Sensis, environ 1,5 million des quelque 2,6 millions d'hôtes observés font tourner des versions de PHP qui ne peuvent pas recevoir facilement le correctif. D'après Wiz, les failles étaient présentes dans le code de PHP depuis plus de 10 ans, mais très complexes à exploiter en pratique. En 2024, la PHP Foundation avait repéré des signes d'une vulnérabilité sans pouvoir confirmer de chemin d'attaque concret ni décider d'un correctif, ce qu'elle a qualifié d'échec structurel lié à son processus de décision et à son manque de ressources.