Des gouvernements déconnectent leurs sites face aux failles PHP2Shell

Des sites web gouvernementaux, scolaires et hospitaliers en Europe, au Canada et au Royaume-Uni ont été mis hors ligne le mercredi 21 octobre. Les organisations se sont précipitées pour installer des correctifs pour deux failles critiques dans PHP, le langage de programmation qui alimente une grande partie du web. L'équipe d'intervention en cybersécurité de l'Union européenne, le CERT-EU, avait conseillé aux opérateurs qui ne pouvaient pas appliquer les correctifs à temps de mettre leurs sites hors ligne, a rapporté Reuters.reuters.com

Les failles sont connues collectivement sous le nom de PHP2Shell et sont suivies sous les références CVE-2026-109618 et CVE-2026-109619. Elles pourraient permettre à des attaquants d'exécuter du code sur des serveurs web sans se connecter. PHP a publié des correctifs dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35 et a exhorté tous les utilisateurs à mettre à jour immédiatement, a rapporté Help Net Security.helpnetsecurity.com

Arrêts dans trois régions

Le fournisseur informatique fédéral allemand, les sites web des préfectures françaises, le ministère belge des Affaires étrangères et les services web gouvernementaux finlandais ont tous été mis hors ligne par précaution. Aux Pays-Bas, le port de Rotterdam, Overheid.nl et de nombreux sites hospitaliers ont fait de même, selon Reuters. La Wikimedia Foundation a également mis certains systèmes hors ligne. Au Canada, le ministre de l'Intelligence artificielle, Evan Solomon, a déclaré que certains sites fédéraux avaient été temporairement mis hors ligne. Les sites provinciaux de Terre-Neuve-et-Labrador et de l'Île-du-Prince-Édouard étaient également hors ligne, a rapporté CBC News. À un moment donné mercredi soir, au moins sept des 32 conseils d'Écosse et six de ses 14 conseils de santé avaient retiré leurs sites web, a rapporté la BBC.cbc.ca+2

Cloudflare ↗ 7.29% a déclaré que des attaques précoces émergeaient. L'agence de cybersécurité australienne a déclaré qu'elle n'avait pas connaissance d'une exploitation active, a rapporté Reuters. Palo Alto Networks ↗ 7.22% a déclaré avoir trouvé plus de 22,6 millions d'instances exposées qui pourraient être vulnérables, a rapporté TechTarget.reuters.com+1

Une fuite a forcé une publication anticipée

La PHP Foundation avait prévu de divulguer les failles plus tard avec un correctif. Des détails ont fuité sur les réseaux sociaux le mardi 20 octobre, elle a donc avancé la publication, a rapporté la BBC. Le correctif était initialement prévu pour le jeudi 22 octobre, a rapporté The Detroit News.bbc.com+1

Le rôle de l'IA dans la découverte des failles

OpenAI a déclaré avoir passé les deux derniers mois à diriger une coalition de mainteneurs, de chercheurs et de fournisseurs de sécurité pour résoudre le problème. Elle a déclaré que la société de sécurité Calif a trouvé une faille critique en utilisant son modèle GPT-5.6 Sol dans le cadre de son initiative Patch the Planet, et que Wiz a découvert et signalé indépendamment les deux failles, selon le blog d'OpenAI. Wiz appartient à Alphabet ↘ 1.08%. Elle a déclaré que le code vulnérable était présent depuis plus d'une décennie, a rapporté CBC. Les mainteneurs de PHP ont dirigé les correctifs et la publication, a déclaré OpenAI.openai.com+1

Les chercheurs de Wiz ont déclaré que les failles "se classent parmi les vulnérabilités les plus graves découvertes dans PHP". Ils ont ajouté que les modèles d'IA de pointe ont "considérablement réduit" la barrière pour transformer une faille de longue date en un exploit fonctionnel, selon Help Net Security.helpnetsecurity.com

OpenAI a décrit la découverte comme "l'un des problèmes de sécurité les plus marquants de mémoire récente", a rapporté dpa. L'entreprise a reconnu que l'IA peut également aider les attaquants. "À notre connaissance, l'IA de pointe a trouvé ces vulnérabilités avant les attaquants, ouvrant une fenêtre de défense pour que les mainteneurs et les fournisseurs de sécurité préparent des correctifs", a-t-elle déclaré.dpa-international.com