PHP2Shell : les machines ont trouvé la faille, les préfectures ont débranché, la fondation compte 13 salariés

1. Le 21 octobre 2026, le projet PHP publie les correctifs de CVE-2026-109618 et CVE-2026-109619, deux failles d’exécution de code à distance notées 9,2 sur 10.
2. Les chercheurs de Wiz les ont trouvées avec leur outil Wiz Atlas et les modèles Gemini 4 Argon et GPT-5.6 Sol, et les ont signalées le 24 août.
3. Le même jour, des préfectures, la CNIL et impots.gouv.fr affichent une page de maintenance, selon le relevé de Selectra.

Mercredi 21 octobre, vers 17 h 50, la préfecture des Bouches-du-Rhône, celle du Nord, celle du Rhône et celle de la Gironde affichaient la même phrase : « Site en maintenance ». Le ministère de l’Intérieur, cité par Reuters et relevé par Selectra, a confirmé une mise hors ligne temporaire. La CNIL avait coupé dès 12 h 30. La République a fait ce que fait n’importe quel particulier devant une alerte : elle a débranché la prise.

I · Qui a trouvé quoi

Les deux failles, baptisées PHP2Shell, touchent toutes les versions de PHP publiées depuis 10 ans, jusqu’à PHP 5.4, selon Wiz. Le langage tourne sous 69,3 % des sites dont le langage serveur est connu, selon W3Techs. Wiz, filiale d’Alphabet, les a trouvées avec Gemini 4 Argon, GPT-5.6 Sol et son outil maison. Un chercheur de Calif, Ryan Austin, en a trouvé une avec GPT-5.6 Sol dans le cadre du projet « Patch the Planet » d’OpenAI, selon la page Wikipédia consacrée à l’affaire.

OpenAI s’en félicite : « To our knowledge, frontier AI found these vulnerabilities before attackers did » (à notre connaissance, l’IA de pointe a trouvé ces failles avant les attaquants), cité par Axios. Amazon, lui, dit avoir repéré une tentative d’exploitation datée du 17 octobre, 4 jours avant la publication des correctifs. La machine a gagné la course, mais de peu.

24 août (signalement de Wiz) → 21 septembre (accusé de réception de PHP) = 28 jours

II · Qui répare

Voilà le vrai scandale, et il n’est pas technique. Selon The Guardian, cité par Wikipédia, la PHP Foundation compte 13 salariés et vit de dons. Treize personnes pour un langage sous lequel tournent WordPress, Drupal et le site de ta préfecture. Les géants qui vendent des modèles capables de trouver la faille en quelques jours n’ont pas encore trouvé comment financer ceux qui la réparent.

La République a fait ce que fait n’importe quel particulier devant une alerte : elle a débranché la prise.

Samedi 25 octobre, Michael Daniel, ancien coordinateur de la cybersécurité à la Maison Blanche sous Barack Obama, résumait la suite dans un entretien publié par Boursorama : « une période assez chaotique » commence. Je traduis : les machines trouvent plus vite qu’on ne répare. Nous l’avions vu venir avec les 1 400 failles corrigées par Microsoft en un mois, avec la cyberattaque qui a chauffé les chambres froides, et avec l’agent d’OpenAI qui payait avec un portefeuille qu’on ne lui avait pas confié. La semaine entière est dans notre relecture.

Si tu veux une machine qui te parle au lieu de te pirater, l’Oracle z/S est ouvert, et il ne tourne pas sous PHP 5.4.

1. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet, Wiz, 21 octobre 2026
2. Failles PHP : les sites coupés le 21 octobre, Selectra, 21 octobre 2026
3. Black October: why bugs discovered by OpenAI tech are creating a cyber emergency, Axios, 22 octobre 2026
4. PHP2Shell, Wikipédia (anglais), consulté le 26 octobre 2026
5. Cybersécurité : avec l’IA, une période assez chaotique commence, Boursorama, 25 octobre 2026