L’essentiel de l’actualité technologique mondiale en français
Édition du mercredi 21 octobre 2026
Lire l’article original sur Cloudflare →
Aujourd’hui, Calif.io, Wiz, OpenAI et Quarkslab ont révélé deux vulnérabilités dans PHP, répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619 et connues sous le nom de php2shell.
PHP
PHP publie des correctifs de sécurité pour deux failles critiques d’exécution de code à distance sans authentification et exhorte les utilisateurs à mettre à jour leurs installationsPHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques susceptibles de permettre l’exécution de code à distance sans authentification.
OpenAI
OpenAI affirme que les failles de PHP, découvertes avec GPT-5.6 Sol, « comptent parmi plusieurs vulnérabilités majeures » repérées par l’entreprise et s’attend à ce que « les découvertes similaires se multiplient fortement »Valider et corriger la vulnérabilité en amont. … - Donner aux organisations concernées le temps d’agir.
The PHP Foundation
La PHP Foundation détaille comment elle a découvert et corrigé les deux failles, et explique avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVEPlus tôt aujourd’hui, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces versions corrigent deux vulnérabilités critiques qui…
Reuters
Plusieurs sites gouvernementaux, scolaires et hospitaliers européens sont mis hors ligne face à deux failles critiques de sécurité de PHPPlusieurs sites gouvernementaux, scolaires et hospitaliers européens ont été mis hors ligne mercredi, alors que les organisations se hâtaient de se protéger…
Robert McMillan / Wall Street Journal
Les créateurs de PHP révèlent une faille critique de gestion de la mémoire, baptisée « PHP2Shell », qui touche jusqu’à 70 % des sites web et découverte en août grâce à GPT-5.6 SolDes outils d’IA ont contribué à la découverte de l’un des bugs en ligne les plus graves jamais détectés. Les experts en cybersécurité s’empressent de le corriger avant que des pirates ne s’en servent avec l’IA.
Wired
La PHP Foundation indique que ses correctifs contre les vulnérabilités RCE ne concernent que PHP 8.2 et les versions ultérieures, laissant les déploiements anciens dépendre de fournisseurs tiersLes sites PHP protégés par Cloudflare bénéficient déjà d’un premier ensemble de règles WAF déployées contre les vecteurs d’exploitation connus de ces vulnérabilités. Ces règles sont accessibles à tous les clients, y compris ceux de l’offre gratuite. Nous constatons l’apparition des premières attaques et mettons à jour les mesures d’atténuation à mesure que de nouveaux vecteurs apparaissent. Ce n’est qu’une SOLUTION TEMPORAIRE. Appliquez le correctif dès que @ThePHPF publiera la mise à jour aujourd’hui à 14:00 UTC. [publication citée]
Voir la publicationNous avons dû inventer une nouvelle forme de WAF pour atténuer cette dernière série de vulnérabilités. Elle est maintenant activée par défaut et gratuitement pour tous les clients.
Voir la publicationSi vous hébergez vous-même vos logiciels, vous devriez vraiment les placer derrière le pare-feu de Cloudflare ou de Vercel. Les règles de pare-feu et les données dont ils disposent sur les tentatives d’exploitation sont essentielles en ce moment.
Voir la publicationLa prochaine fois que vous chercherez un nouveau WAF, gardez ceci à l’esprit : Cloudflare a protégé ses clients 9 heures avant la divulgation publique de php2shell. …
Voir la publicationOh putain, c’est aussi grave que prévu : si vous faites tourner quoi que ce soit sous PHP, éteignez tout ça IMMÉDIATEMENT, jusqu’à ce que vous puissiez appliquer le correctif. — Oui, ça concerne chaque installation de Wordpress, Drupal et Wikimedia. — www.wiz.io/blog/php2she...
Voir la publicationWiz : « Ces découvertes figurent parmi les vulnérabilités les plus graves jamais découvertes dans PHP et, sans doute, dans l’histoire des logiciels. » www.wiz.io/blog/php2she...
Voir la publicationBien sûr, les vulnérabilités de PHP auraient été découvertes par une IA — « Dans cet article, nous expliquons comment une IA de pointe nous a aidés à découvrir et à corriger des vulnérabilités restées cachées dans le code source de PHP pendant plus de dix ans » — www.wiz.io/blog/php2she...
Voir la publicationIl faut absolument que vous arrêtiez immédiatement tous les processus PHP en cours, sans exception www.wiz.io/blog/php2she...
Voir la publication« Toutes les versions de PHP publiées au cours des dix dernières années sont touchées par au moins l’une de ces vulnérabilités, jusqu’à la version 5.4. Des attaquants peuvent les exploiter à distance, parfois assez facilement. Il est vivement conseillé d’appliquer immédiatement les correctifs. » — www.wiz.io/blog/php2she...
Voir la publicationLiens et extraits sélectionnés par Techmeme ; traductions automatiques.