Vous avez probablement entendu parler de PHP2Shell, ce problème de sécurité récemment découvert qui affecte un très grand nombre de sites web. Les administrateurs ont notamment reçu des avertissements leur demandant d'installer rapidement les correctifs nécessaires.
Cette affaire est sérieuse, et elle soulève naturellement de nombreuses questions. Qu'est-ce que PHP2Shell exactement et quels systèmes sont concernés ? Surtout, quelles sont les conséquences pour les internautes ? Peut-on encore consulter les sites web habituels sans prendre de risques ?
Cet article répond aux principales interrogations autour de PHP2Shell et revient sur les informations essentielles à connaître concernant cette vulnérabilité. Ou plutôt ces deux vulnérabilités, pour être précis.
Qu'est-ce que PHP2Shell ?
PHP2Shell est le nom donné à un problème de sécurité touchant le langage de programmation PHP, largement utilisé par les sites et applications web. Selon les estimations du secteur, PHP équipe près de 70 % des sites dont la technologie côté serveur est connue. On le retrouve notamment derrière WordPress, Drupal, Joomla et bien d'autres systèmes de gestion de contenu. C'est ce qui explique l'ampleur potentielle de la menace.
Concrètement, les attaquants pourraient exécuter du code malveillant sur les systèmes vulnérables, notamment en y installant des web shells, et ainsi prendre le contrôle des serveurs concernés.
Sergey Lozhkin, directeur du centre de recherche pour les régions APAC et META chez Kaspersky
En réalité, PHP2Shell regroupe deux failles liées à la gestion de la mémoire, référencées CVE-2026-109618 et CVE-2026-109619. Ces erreurs dans le fonctionnement de PHP pourraient permettre à un attaquant de compromettre un site utilisant ce langage, soit une part importante du Web. Dans certains cas, elles pourraient même ouvrir la voie à l'exécution de code à distance.
Il s'agit d'un incident majeur : les deux vulnérabilités ont reçu une note de gravité de 9,2 sur 10.
Que se passe-t-il si un pirate exploite ces vulnérabilités sur un site ?
Sergey Lozhkin, responsable du centre de recherche pour les régions APAC et META au sein de Kaspersky GReAT, a expliqué à TechRadar que les conséquences potentielles étaient considérables. Selon lui, une exploitation réussie pourrait permettre l'exécution de code à distance, l'une des formes de compromission informatique les plus graves. Des attaquants pourraient ainsi lancer du code malveillant sur les systèmes concernés, notamment en installant des web shells pour prendre le contrôle de serveurs vulnérables.
Autrement dit, un pirate pourrait exécuter ses propres programmes sur un serveur compromis et modifier le contenu d'un site à des fins malveillantes. Il pourrait notamment chercher à voler des données, rediriger les visiteurs vers une fausse page destinée au phishing ou provoquer l'installation de logiciels malveillants.
PHP2Shell a-t-il déjà été exploité ?
La situation autour de PHP2Shell s'est révélée plus compliquée que prévu, car les deux vulnérabilités ont été divulguées avant leur annonce officielle. Comme nous le rapportions hier, quelqu'un a publié des informations sur ces failles sur le forum Hacker News avant la levée de l'embargo. Les spécialistes de la cybersécurité ont donc dû accélérer la mise en place des protections.
Des tentatives d'exploitation ont rapidement été observées. L'une d'elles remonterait même à une date antérieure à la fuite, et donc à l'annonce publique des vulnérabilités. Selon Amazon Threat Intelligence, une tentative d'attaque a été détectée dès le 17 octobre. Les chercheurs précisent toutefois qu'ils ne savent pas comment son auteur a pu obtenir les informations nécessaires avant leur divulgation.
Comme le souligne Malwarebytes, Dane Knecht, directeur technique de Cloudflare, avait également signalé l'apparition de premières attaques avant même que l'équipe PHP ne publie ses correctifs.
Amazon Threat Intelligence affirme désormais que PHP2Shell fait l'objet d'une exploitation à grande échelle.
Les failles sont-elles corrigées et peut-on naviguer sans risque ?
Des correctifs ont effectivement été publiés pour combler ces failles. Le 21 octobre, l'équipe PHP a diffusé des mises à jour de sécurité d'urgence pour les versions 8.5, 8.4, 8.3 et 8.2 du langage. Les versions corrigées sont respectivement PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
Mais la publication d'un correctif ne constitue que la première étape. Les propriétaires des sites concernés doivent ensuite l'installer. Selon leur configuration, ils peuvent effectuer eux-mêmes cette mise à jour ou demander à leur hébergeur de vérifier qu'elle a bien été appliquée.
Compte tenu de l'urgence, de nombreux administrateurs ont probablement déjà effectué ces opérations. En théorie, la navigation sur les sites correctement mis à jour ne présente donc plus de risque lié à ces deux vulnérabilités. Il reste néanmoins impossible de garantir que tous les serveurs exposés ont été corrigés.
Pour les internautes, aucune intervention particulière n'est nécessaire. Il ne s'agit pas d'une faille touchant directement les navigateurs web, mais d'un problème que doivent résoudre les responsables des sites Internet. En revanche, si vous gérez vous-même un site WordPress, par exemple, vous devez vérifier auprès de votre hébergeur que PHP utilise bien l'une des versions corrigées mentionnées précédemment.
Concrètement, à quoi faut-il faire attention en naviguant sur Internet ?
Vous pourriez d'abord rencontrer des sites temporairement indisponibles pour maintenance, le temps que leurs administrateurs installent les mises à jour corrigeant PHP2Shell. Ce désagrément devrait rester temporaire et témoigne plutôt d'une démarche de sécurité nécessaire. À ce stade, les grands sites concernés ont probablement déjà effectué ces interventions compte tenu de l'urgence.
Pour le reste de la semaine, mieux vaut faire preuve d'une vigilance accrue, même si les règles habituelles de sécurité sur Internet restent pertinentes en permanence. Méfiez-vous notamment des comportements inhabituels, comme une redirection soudaine vers un autre site ou le déclenchement inattendu d'un téléchargement. Dans ce cas, fermez immédiatement la page, voire le navigateur, et évitez de retourner sur le site. Vous pouvez ensuite lancer une analyse avec votre antivirus.
Dans la mesure du possible, évitez également les sites susceptibles d'être mal entretenus. Le danger concerne notamment ceux qui fonctionnent encore avec des versions de PHP devenues obsolètes, comme PHP 8.1 ou une version antérieure. Ces branches ne bénéficient plus des mises à jour habituelles de sécurité et nécessitent une migration vers une version prise en charge. Les administrateurs qui ne peuvent pas effectuer cette transition immédiatement peuvent être amenés à mettre temporairement leur site hors ligne ou à appliquer des mesures d'atténuation provisoires recommandées par le NCSC britannique.
L'intelligence artificielle est-elle responsable ?
Non. Si vous avez entendu parler d'intelligence artificielle dans cette affaire, c'est parce que les outils d'IA facilitent désormais le travail des cybercriminels lorsqu'ils découvrent de nouvelles vulnérabilités.
Soyez particulièrement vigilant si vous êtes soudainement redirigé vers un autre site web ou si un événement manifestement suspect se produit, comme le lancement inopiné d'un téléchargement.
Amazon Threat Intelligence explique qu'autrefois, la plupart des attaques apparaissaient après la publication d'une démonstration technique permettant d'exploiter une faille. Un nombre limité d'attaquants expérimentés développaient ces outils, tandis que les autres attendaient de pouvoir les réutiliser. Cette dépendance diminue aujourd'hui. L'analyse assistée par IA permet de transformer plus facilement les différences entre deux versions d'un logiciel, ou les informations publiées dans un avis de sécurité, en techniques d'exploitation opérationnelles. Davantage d'acteurs peuvent ainsi passer à l'attaque quelques heures, voire quelques minutes seulement après la divulgation des détails techniques.
À l'inverse, l'intelligence artificielle est également utilisée pour renforcer les défenses contre les cybercriminels. Mais sur le long terme, les spécialistes craignent que son utilisation accélère davantage encore l'exploitation des nouvelles vulnérabilités, malgré les progrès qu'elle apporte aussi aux équipes de sécurité.
