Panique sur Internet : 2 failles PHP critiques touchent des centaines de millions de sites web, des cyberattaques en cours

Deux failles critiques menacent PHP, le langage de programmation qui fait tourner environ 70 % des sites web. Baptisées PHP2Shell, elles permettent de prendre le contrôle d’un serveur à distance. Les cyberattaques exploitant les vulnérabilités ont déjà commencé. Ces failles ont été débusquées par l’intelligence artificielle, à savoir les modèles de pointe de Google et d’OpenAI.

C’est l’une des alertes de sécurité les plus sérieuses de ces dernières années. Depuis le mardi 20 octobre 2026, le monde de l’informatique est passé en alerte rouge à cause de PHP2Shell, un duo de failles débusquées dans le cœur de PHP. Pour ceux qui ne connaissent pas, PHP est un langage de programmation omniprésent sur Internet. Il fait tourner les coulisses d’une bonne partie du web, des petits blogs aux boutiques en ligne, en passant par d’importants systèmes de gestion de contenu comme WordPress, Drupal, Joomla ou Magento. Des centaines de millions de sites web reposent en fait sur PHP.

Les deux failles sont jugées « critiques » par les experts en cybersécurité. Pour éviter une explosion des cyberattaques, l’équipe de PHP n’a pas tardé à mettre en ligne des correctifs de toute urgence. Les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 de PHP corrigent le tir et empêchent les pirates d’exploiter les vulnérabilités.

À lire aussi : Ces box Orange et SFR peuvent se faire pirater à distance grâce à une faille Wi-Fi

Deux failles débusquées par l’intelligence artificielle

Ces vulnérabilités ont été dénichées par les chercheurs de Wiz, une société de cybersécurité. Les chercheurs se sont appuyés sur plusieurs intelligences artificielles de pointe, à savoir Gemini 4 Argon de Google et GPT d’OpenAI. « L’équipe de Wiz a montré pourquoi l’IA de pointe change la donne pour la cyberdéfense », résume Raluca Ada Popa, responsable de la sécurité de Gemini chez Google DeepMind.

Researchers at @wiz_io put Gemini 4 Argon to the test against complex cyber threats.

In real-world testing, it found more than two times more vulnerabilities than baseline models — catching a critical risk that previous frontier models missed.

See how they did it ↓ pic.twitter.com/EeKVi0kwjo

— Google (@Google) October 21, 2026

Les deux failles se cachaient dans le code de PHP depuis plus de dix ans. Il aura fallu attendre l’essor de l’IA générative pour les débusquer. Greg Brockman, président d’OpenAI, souligné que l’un des bugs se nichait même dans PHP « depuis quatorze ans ». « Compte tenu de la gravité de ces failles et de l’usage très répandu de PHP, nous considérons qu’il s’agit de l’un des problèmes de sécurité les plus importants », déclare OpenAI.

OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.

Over the past two months, we led a coalition of maintainers, researchers,…

— OpenAI (@OpenAI) October 21, 2026

70 % des sites web vulnérables

En exploitant ces deux failles de PHP, un pirate peut exécuter son propre code sur un serveur vulnérable, sans aucun mot de passe ni identifiant. Concrètement, un hacker peut prendre le contrôle total d’un site, voler les données des clients, modifier les pages ou installer une porte dérobée, en vue d’une future cyberattaque, sans jamais avoir besoin de s’authentifier. Pour rappel, PHP fait tourner environ 70 % des sites web de la planète. C’est une grande partie d’Internet qui se retrouve en danger.

« Avec 70 % d’Internet touché, l’impact de PHP2Shell ne peut être sous-estimé », avertissent les chercheurs de Wiz.

Les autorités du monde entier n’ont pas tardé à réagir. En Allemagne, l’agence de cybersécurité (BSI) a classé la menace au niveau « orange », soit « extrêmement élevé ». L’organisme allemand a conseillé aux administrateurs de débrancher leurs serveurs d’Internet s’ils ne peuvent pas les corriger tout de suite. Par précaution, des communes, universités et hôpitaux ont mis tous leurs services en ligne hors ligne. Au Luxembourg, les autorités ont jugé les failles critiques et organisé des réunions de crise pour réagir dans les plus brefs délais.

Effective Immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities. PHP is widely used for web applications. These vulnerabilities often provide a direct path to the server’s file system or database. If an immediate update is not feasible, it is recommend that organizations take the system offline until it can be fully mitigated. NSA will follow up shortly with more specific guidance.

— NSA Cyber (@NSACyber) October 21, 2026

Outre-Atlantique, la NSA, l’agence de renseignement américaine, demande à « toutes les organisations qui utilisent PHP de se préparer à une mise à jour corrigeant deux vulnérabilités critiques ». Selon la NSA « ces vulnérabilités offrent souvent un accès direct au système de fichiers ou à la base de données du serveur. Si une mise à jour immédiate n’est pas possible, il est recommandé de mettre le système hors ligne ». Toute la journée d’hier, des administrations et des entreprises ont indiqué que leurs portails étaient temporairement désactivés. Tous les développeurs et les équipes de sécurité étaient sur le pied de guerre.

#Maintenance 🛠️ A la demande de l'Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), le ministère de l'Intérieur a procédé à la mise en maintenance préventive de l'ensemble de ses sites Internet exposés à une vulnérabilité de sécurité. Par conséquent le site des… pic.twitter.com/8VqdMIYhwa

— Préfète du Gard (@Prefet30) October 21, 2026

🔵 À la demande de l’@ANSSI_FR, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de plusieurs de ses sites internet. Cela fait suite à une vulnérabilité critique de sécurité, annoncée quelques heures auparavant par l’éditeur d’un composant logiciel… pic.twitter.com/dHMC22E3AL

— Ministère de l'Intérieur (@Interieur_Gouv) October 21, 2026

À lire aussi : 3,25 millions de sites en danger – cette faille critique d’un plugin WordPress risque de faire des dégâts

Des cyberattaques déjà en cours

Sans surprise, les pirates n’ont pas tardé à exploiter les vulnérabilités. Les premières tentatives d’exploitation ont été repérées avant même que les correctifs soient disponibles. Dane Knecht, directeur technique de Cloudflare, a révélé que « des attaques précoces » avaient été épinglées par ses équipes. Il ajoute que les pare-feux ne sont qu’une « rustine » temporaire. Les experts en sécurité redoutent surtout les scripts automatisés, capables de scanner tout Internet pour repérer et pirater en masse les serveurs non protégés.

« C’est une mine d’or pour les hackers », résume Shahak Shalev, de Malwarebytes.

En tant qu’internaute, vous n’avez rien à faire pour vous protéger. La faille ne se trouve pas sur votre ordinateur ou votre smartphone, mais sur les serveurs à l’origine des sites web. Il n’y a aucune mise à jour à installer pour vous protéger contre les pirates. Les experts recommandent à tous les administrateurs d’installer la mise à jour sans attendre. En attendant, redoublez de vigilance lorsque vous surfez sur Internet. Par prudence, méfiez-vous des contenus inhabituels, des redirections ou des demandes de connexion répétées, même si vous vous trouvez sur un site web de confiance que vous avez l’habitude de consulter. Il est possible que ce site ait été compromis.