PHP2Shell : deux failles dans PHP mettent une grande partie du web sous pression
La PHP Foundation a publié des correctifs le 21 octobre, mais des attaquants étaient déjà actifs. Quiconque utilise PHP doit mettre à jour sans tarder.
Deux vulnérabilités critiques dans PHP, baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), permettent à des attaquants d'exécuter du code sur un serveur via internet, sans mot de passe et sans que personne ne doive cliquer, écrit TechCrunch. PHP fait tourner notamment WordPress, Drupal, Joomla et MediaWiki, et se retrouve aussi dans des routeurs, des pare-feu et des appareils VPN.
La PHP Foundation a publié les correctifs le mercredi 21 octobre. Selon TechCrunch, Amazon avait observé des exploitations environ une semaine plus tôt, et Cloudflare a signalé une explosion des tentatives d'attaque après la divulgation. Les failles ont été découvertes par des chercheurs de la société Calif ; l'IA a aidé à mettre au point les attaques, mais l'essentiel du travail reposait sur leur connaissance du code de PHP.
De Tijd voit dans cette panique le signe que la gouvernance d'internet n'est pas adaptée à des attaquants rapides, aidés par l'IA. En Bourse, des sociétés de sécurité comme Cloudflare et Akamai font figure de gagnantes, mais elles sont déjà chèrement valorisées, note le journal.