Palo Alto confirme que les failles PHP2Shell touchent PAN-OS

Des gouvernements, des banques et des entreprises du monde entier ont mis leurs sites web hors ligne la semaine dernière après la révélation de deux failles critiques dans PHP. PHP est le langage de programmation qui alimente environ 70 % des sites web dans le monde, selon Wiz Research. Les vulnérabilités portent les références CVE-2026-109618 et CVE-2026-109619, regroupées sous le nom de PHP2Shell. Elles permettent à des attaquants d'exécuter du code sur un serveur sans s'authentifier. Le projet PHP a publié en urgence des correctifs le 21 octobre dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, a indiqué Amazon Web Services Amazon.com, Inc. ↗ 1.61%. Des détails avaient fui en ligne le mardi 20 octobre, un jour avant la publication prévue.aws.amazon.com+1

Des sites hors ligne dans le monde entier

La National Security Agency des États-Unis a conseillé aux organisations ne pouvant pas effectuer la mise à jour immédiatement de « mettre le système hors ligne jusqu'à ce qu'il soit entièrement sécurisé », a rapporté DW. NBC News Comcast Corporation ↘ 0.95% a souligné que c'était la première fois qu'une agence de renseignement américaine utilisait les réseaux sociaux pour conseiller aux propriétaires de sites web de se déconnecter. La CISA a vivement incité les organisations à appliquer les correctifs sans attendre.nbcnews.com+2

La Finlande a temporairement fermé les services web publics de son gouvernement, et l'agence néerlandaise de cybersécurité a mis son propre site hors ligne, selon la BBC. En France, les sites de plusieurs préfectures, y compris celui de la préfecture de police de Paris, ont été désactivés, tout comme le service d'identité DigiD et le site du parlement aux Pays-Bas, d'après eNCA. Au Japon, ANA, JR West et MUFG ont suspendu certains services, indique CNN. Le site de la banque centrale du Bangladesh est resté inaccessible pendant plusieurs jours, et des milliers de sites gouvernementaux et bancaires ont été coupés au Népal. Les correctifs continuent d'arriver pour certains produits. Le 24 octobre, Palo Alto Networks ↗ 2.88% a confirmé que PAN-OS était touché et a annoncé que des correctifs d'urgence seraient déployés à partir du 26 octobre.bbc.com+5

Des millions de tentatives d'attaque

Le PDG de Cloudflare ↘ 1.22%, Matthew Prince, a déclaré que l'entreprise avait observé des milliers de tentatives d'exploitation dans les 10 heures précédant l'annonce. Ce chiffre est passé à « des dizaines de milliers dans les 45 minutes suivant l'annonce, des centaines de milliers en 2 heures, et des millions aujourd'hui », a rapporté SecurityWeek. Amazon a précisé que la première tentative d'exploitation avait eu lieu le 17 octobre, alors que les failles étaient encore sous embargo, bien que les organisations aient décrit ces tentatives comme infructueuses.securityweek.com

L'IA des deux côtés

Calif a découvert les failles en août grâce au modèle GPT-5.6 Sol d'OpenAI, lors d'un audit de PHP financé par OpenAI. Wiz, qui appartient à Google, affirme les avoir découvertes de son côté quelques semaines plus tard au moyen de Gemini 4 Argon et de GPT-5.6 Sol, a rapporté l'AFP. Alphabet ↗ 0.84% est la maison mère de Google. Wiz a qualifié ces vulnérabilités de « failles parmi les plus graves découvertes dans PHP, et sans doute dans l'histoire du logiciel ».afp.com

NBC News a écrit que l'IA aide à la fois les défenseurs et les pirates à identifier des failles majeures « à un rythme vertigineux ». Steve Kerrison, de l'université James Cook, a prévenu que certains propriétaires de sites « n'en sauront absolument rien pendant des jours, des semaines, voire des mois », selon l'AFP.nbcnews.com+1