L’essentiel de l’actualité technologique
Édition du jeudi 22 octobre 2026
Lire l’article original sur Wired →
Amazon Web Services a enregistré, il y a quatre jours, des tentatives d’exploitation des failles PHP2Shell, capables de mettre à mal Internet. Elles sont désormais « largement exploitées » sur Internet.
PHP
PHP publie des correctifs de sécurité pour deux failles critiques d’exécution de code à distance sans authentification et exhorte les utilisateurs à mettre à jour leurs installationsPHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles critiques susceptibles de permettre l’exécution de code à distance sans authentification.
The PHP Foundation
La PHP Foundation détaille comment elle a découvert et corrigé les deux failles, et explique avoir dû publier les correctifs un jour plus tôt après la diffusion en ligne des deux identifiants CVEPlus tôt aujourd’hui, le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Ces versions corrigent deux vulnérabilités critiques qui…
Cloudflare
Cloudflare affirme avoir déployé par défaut des mesures de protection WAF pour tous ses clients, gratuits et payants, contre deux failles PHP, environ neuf heures avant leur divulgation publiqueRobert McMillan / Wall Street Journal
Les créateurs de PHP révèlent une faille critique de gestion de la mémoire, baptisée « PHP2Shell », qui touche jusqu’à 70 % des sites web et découverte en août grâce à GPT-5.6 SolWired
La PHP Foundation indique que ses correctifs contre les vulnérabilités RCE ne concernent que PHP 8.2 et les versions ultérieures, laissant les déploiements anciens dépendre de fournisseurs tiersReuters
Plusieurs sites gouvernementaux, scolaires et hospitaliers européens sont mis hors ligne alors que les organisations s’empressent de se protéger contre deux failles critiques de sécurité dans PHPOpenAI
OpenAI affirme que les failles de PHP découvertes avec GPT-5.6 Sol « comptent parmi plusieurs vulnérabilités importantes » et s’attend à une « forte hausse des découvertes similaires »AWS estime qu’un délai de 7 jours pour appliquer un correctif est désormais trop long pour les bugs critiques dans tout ce qui est exposé à Internet. L’entreprise veut que les équipes mesurent les délais de correction en heures. php2shell montre pourquoi. Les honeypots d’AWS ont enregistré une tentative d’exploitation le 17 octobre, quatre jours avant que le bug ne soit rendu public. Et AWS a repéré du code d’exploitation quelques heures ava...
Les failles PHPocalypse, présentes depuis une décennie et identifiées avec l’aide de l’IA, permettent aux attaquants de prendre le contrôle de serveurs Web sans se connecter. Amazon et Cloudflare ont signalé des tentatives d’exploitation plusieurs jours avant la divulgation. Les failles sont maintenant largement exploitées. Les agences de cybersécurité (États-Unis, Royaume-Uni, UE, etc.) recommandent de...
Oui, honnêtement, une CVE importante, dont la vulnérabilité a été découverte de façon indépendante par plusieurs personnes quasiment au même moment, n’aurait pas dû être mise de côté pendant deux mois. Non seulement la divulgation a été irresponsable, mais le fait de la retenir l’a été tout autant. Je ne comprends pas comment ça a pu arriver.
PHP2Shell (CVE-2026-109618/109619) a touché nos honeypots MadPot le 17 octobre, quatre jours avant sa divulgation. Vous enquêtez ? Commencez votre chronologie à cette date, pas à celle de l’avis. Passez maintenant aux versions 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35. https://aws.amazon.com/...
Petit rappel périodique : pour chaque vulnérabilité grave et exploitable dont vous apprenez l’existence et que vous corrigez, il y a eu un certain niveau d’exploitation *avant* que vous ne le sachiez.
Il s’avère que des détails ont fuité encore plus tôt qu’on ne le pensait. AWS a détecté une exploitation le 17 ! https://aws.amazon.com/...
Fascinant. Amazon affirme disposer de données de télémétrie montrant que PHP2Shell était exploité le 17 octobre, soit quatre jours avant sa divulgation publique. On ignore qui en était responsable. « On ne sait toujours pas comment l’acteur a obtenu des informations sur l’exploit avant sa divulgation. » https://aws.amazon.com/...
Au moins un pirate a découvert et exploité les vulnérabilités PHP avant leur divulgation. Et bien sûr, maintenant, tout le monde s’y met. de la part de @lhn.bsky.social
NOUVEAU : AWS a détecté des tentatives d’exploitation des vulnérabilités PHP le 17 octobre, quatre jours avant la publication des correctifs. Les journaux indiquent que plusieurs acteurs malveillants ont tenté d’exploiter les failles. @lhn.bsky.social rapporte : www.wired.com/story/hacker...