Mercredi, une technologie open source de réseau vieille de plusieurs décennies, PHP, a failli paralyser l'Internet en raison de deux vulnérabilités dont les chercheurs ont récemment découvert des méthodes d'exploitation après des années d'inactivité.
Ces deux vulnérabilités sont appelées PHP2Shell et portent les numéros officiels CVE-2026-109618 et CVE-2026-109619. En termes simples, ces vulnérabilités permettent à quiconque connaissant leur exploitation de compromettre des systèmes en ligne exécutant PHP, tels que des sites web ou des serveurs exposés sur Internet, sans avoir besoin d'un mot de passe, afin d'accéder ou de modifier les données qu'ils contiennent.
En raison de la gravité de l'événement, des millions de personnes dans le monde ont été contraintes de corriger rapidement leurs systèmes avant qu'un pirate malveillant ne puisse l'exploiter.
La PHP Foundation a publié publiquement un correctif mercredi pour protéger les serveurs accessibles via Internet contre les attaques, après avoir fourni en amont une première version du correctif à certaines des plus grandes entreprises internet et hébergeurs web dépendant de PHP.
Grâce à des communications discrètes et à une coordination prudente au sein de l'industrie sur plusieurs semaines, le monde a globalement évité l'exploitation à grande échelle d'Internet. À partir de mercredi, les gouvernements ont commencé à inciter les citoyens et les entreprises possédant des sites web à prendre des mesures pour réduire leurs risques. Des banques, des détaillants, des sites de jeux, des boutiques en ligne, des hôpitaux et certaines institutions gouvernementales ont fermé leurs serveurs pour éviter les attaques.
Mais les chercheurs en sécurité avertissent que la situation n'est pas terminée : de nombreux systèmes à travers le monde restent non corrigés et vulnérables aux intrusions et au vol de données.
Il est également très probable que ce ne soit pas la dernière grande crise logicielle sur Internet. Certains prévoient que l'apparition de l'intelligence artificielle permettra de découvrir rapidement davantage de vulnérabilités non encore identifiées, en attente d'être trouvées et exploitées.
What happened?
Des chercheurs en sécurité de Calif ont découvert deux vulnérabilités dans PHP. PHP est un langage de programmation largement utilisé dans le monde entier pour construire des sites web et des applications web, à la fois sur Internet et sur des systèmes hébergés localement dans les réseaux d'entreprise, tels que les intranets et les sites internes.
Ces deux vulnérabilités ont été découvertes pour la première fois en 2024, mais elles n'étaient alors pas considérées comme exploitables, donc aucune correction n'a été appliquée. Des chercheurs en sécurité ont récemment trouvé des méthodes pour les exploiter et ont averti les développeurs logiciels de les corriger au plus vite.
Calif a informé la PHP Foundation, qui a immédiatement commencé à corriger la vulnérabilité et à coordonner la divulgation. La fondation a permis aux grandes entreprises de se préparer en leur fournissant des informations et des correctifs dans le cadre d'une période de confidentialité stricte — c'est-à-dire en gardant l'information confidentielle jusqu'à une date limite spécifique.
Why are these vulnerabilities so severe?
PHP2Shell est grave car il peut être exploité à distance via Internet, sans que la victime doive cliquer sur un lien ou ouvrir un fichier. Cela s'appelle une exécution de code à distance, l'un des types de vulnérabilités les plus destructeurs, car ils permettent à des pirates informatiques du monde entier de prendre un contrôle presque total des systèmes affectés et non corrigés.
Pire encore, ces vulnérabilités PHP spécifiques permettent aux attaquants de compromettre via Internet n'importe quel système non patché sans mot de passe ni autre identifiant, ce qui est appelé un accès non authentifié.
Cela permettrait à des pirates malveillants d'installer un logiciel malveillant sur l'ordinateur, par exemple pour voler des données ou simplement pour maintenir une présence à long terme afin de revenir ultérieurement.
Pourquoi 70 % des pages web sont-elles affectées ?
PHP n'est qu'une des nombreuses technologies anciennes mais encore fonctionnelles, qui ont traversé plusieurs cycles d'évolution et de renouvellement d'Internet et sont désormais omniprésentes, comme la colle soutenant la majeure partie du fonctionnement d'Internet. Souvent, ces outils sont développés par des maintaineurs open source qui ne sont pas rémunérés pour leur travail et ne peuvent donc pas se permettre des audits de sécurité tiers — pourtant, les entreprises dépendent largement de ces projets sans leur fournir de financement.
Were these vulnerabilities discovered by artificial intelligence?
Les chercheurs en sécurité de Calif ont été reconnus pour avoir découvert ces vulnérabilités lors d'un audit de sécurité effectué sur du code PHP au début de cette année. Calif a participé au programme Hack the Planet lancé par OpenAI et le géant de la sécurité cloud Wiz, qui a ensuite validé les codes d'exploitation démonstratifs créés par Calif.
Dans l'article explicatif de Calif (accompagné d'une bande dessinée — excellente et à ne pas manquer), les chercheurs expliquent que l'intelligence artificielle a été utilisée pour aider à exploiter la vulnérabilité, mais que la majeure partie du travail repose toujours sur les connaissances préexistantes des chercheurs et leur familiarité avec la base de code PHP et l'historique des exploitations.
Calif a écrit : « Aucun modèle ne peut extraire directement « tous les bugs » uniquement avec des invites simples. Du moins, pas pour l'instant. »
Pourquoi ces vulnérabilités ont-elles été exploitées avant leur divulgation ?
Malgré les efforts de toutes les parties pour garder les détails de la vulnérabilité confidentiels jusqu'à mercredi, il semble que certaines exploitations de PHP2Shell aient déjà émergé avant la publication du correctif.
En raison de sa taille et de sa haute visibilité, Amazon possède une insight considérable sur les menaces en ligne. Dans un article de blog, l'entreprise indique qu'elle a détecté des signes d'exploitation de PHP2Shell environ une semaine avant la publication du correctif PHP, ce qui suggère que quelqu'un, quelque part, connaissait déjà la méthode d'exploitation avant que les détails de la vulnérabilité ne soient largement rendus publics. Amazon précise qu'il n'est pas encore clair comment les pirates ont appris l'existence de ces vulnérabilités, mais que les défenseurs devraient rechercher des preuves d'exploitation à partir du 17 octobre.
Il existe plusieurs versions concernant les événements survenus. Une fois le correctif appliqué, les détails du patch pourraient devenir immédiatement évidents, particulièrement dans un code open source comme PHP, accessible publiquement à tous. Exploiter ces vulnérabilités pourrait ne pas être facile, mais connaître leur emplacement et la manière dont elles ont été corrigées pourrait aider les pirates malveillants à identifier des cibles potentielles et à développer du code d'exploitation.
Il est également possible qu'une fuite se soit produite pendant la période d'interdiction ou qu'une interruption de la communication ait eu lieu. La communauté open source est vaste, et le contrôle de l'information de cette manière repose sur la bonne foi et la coopération de toutes les parties.
De plus, les pirates pourraient avoir découvert ces vulnérabilités indépendamment à l'avance, ou les avoir apprises par des activités d'espionnage.
Les chercheurs indiquent qu'il faut beaucoup de travail pour rendre ces vulnérabilités réellement exploitables ; armer ces vulnérabilités reste un défi — mais pas impossible — ce qui explique pourquoi nous n'avons pas encore vu de scénarios d'exploitation à grande échelle.
Une panne à grande échelle sur Internet s'est produite, mais le service est en cours de restauration. Avons-nous évité le pire ?
Il est encore trop tôt pour tirer des conclusions, mais l’absence pour l’instant de signes d’exploitation à grande échelle est au moins un signal encourageant — même si nous ne sommes pas encore complètement sortis de danger.
Matthew Prince, PDG de la société de sécurité et de surveillance réseau Cloudflare, a déclaré cette semaine que l'entreprise a observé une croissance exponentielle des tentatives d'exploitation après la divulgation des vulnérabilités. Cela illustre également à quelle vitesse les acteurs malveillants tentent d'exploiter ces failles à leur avantage.
PHP est utilisé non seulement sur les serveurs web, mais aussi pour les outils de développement, les paquets en ligne de commande et terminal, ainsi que pour d'autres composants logiciels utilisés par les routeurs, les périphériques de stockage et les équipements de sécurité d'entreprise (tels que les pare-feu et les VPN).
On peut s'attendre à ce que l'exploitation de PHP2Shell se poursuive dans le futur, car les petites équipes informatiques et les développeurs indépendants pourraient mettre à jour plus lentement. Dans le même temps, de nombreuses entreprises qui intègrent PHP dans leurs produits et logiciels doivent également effectuer des mises à jour, ce qui entraînera une période de transition.
Au fur et à mesure que de plus en plus d'appareils et de systèmes sont mis à jour, la surface d'attaque diminuera progressivement. Toutefois, les effets en chaîne de ces vulnérabilités peuvent encore persister pendant des années, notamment dans les systèmes hérités non mis à jour.
Will this happen again?
Au cours de mes années en tant que journaliste spécialisé en sécurité, c’était l’une de ces rares journées où l’Internet entier a été mis en arrêt. En 2016, un vaste réseau de zombies a inondé Dyn, un fournisseur d’inscription Internet, provoquant une quasi-panne des services des principaux sites web. En 2017, la Corée du Nord a infecté le système de santé britannique à l’aide d’outils de piratage volés du gouvernement américain et a déployé un logiciel de rançon. En 2024, une mise à jour défectueuse de CrowdStrike a provoqué une panne mondiale massive, faisant tomber simultanément la plupart des ordinateurs Windows dans le monde entier.
De tous les points de vue, Internet a évité une journée potentiellement extrêmement douloureuse et destructrice grâce à PHP2Shell. Mais il est peu probable que ce soit la dernière grande menace pour le réseau, et cela pourrait bien être le début d’une série d’événements exploitant les faiblesses des technologies héritées. En grande partie, cela s’explique par les défauts intrinsèques de ces logiciels anciens mais omniprésents, dont les vulnérabilités n’ont pas encore été découvertes, auxquels s’ajoutent les outils d’intelligence artificielle qui facilitent la détection de ces failles.
PHP, ainsi que d'autres langages et technologies de programmation web datant de plusieurs décennies, appartient à la catégorie des logiciels « non sécurisés en mémoire », ce qui signifie qu'ils peuvent être exposés à une classe entière de vulnérabilités permettant la fuite ou le débordement de données sensibles depuis le stockage mémoire. La National Security Agency américaine indique qu'environ 75 % des vulnérabilités activement exploitées profitent de défauts liés à la mémoire, ce qui signifie que les pirates utilisent fréquemment ce type de failles.
Cela a poussé l'industrie à adopter des langages sécurisés en mémoire, tels que Python, Rust et Swift, qui ne sont pas aussi facilement exploitables que les vulnérabilités de mémoire. Ces langages sont en grande partie immunisés contre un grand nombre de vulnérabilités qui affectent encore leurs prédécesseurs.
Mais cela laisse encore une grande partie d'Internet fonctionnant avec PHP, des médias et des codecs vidéo, des bibliothèques de compression et d'autres logiciels datant de plusieurs décennies — et lorsque ces technologies rencontrent des problèmes, elles ont un impact considérable sur l'ensemble du réseau.