Contexte et portée des vulnérabilités

Les mainteneurs du langage PHP ont publié aujourd'hui des correctifs pour deux failles désignées sous le nom de PHP2Shell. Selon les informations publiées, ces vulnérabilités pourraient toucher jusqu'à 70 % des sites web mondiaux. Des agences de cybersécurité, dont la National Security Agency, recommandent la mise hors ligne immédiate des systèmes exposés. Des opérateurs de CDN tels que Cloudflare et Fastly confirment que des tentatives d'exploitation sont déjà observées à grande échelle, avec des milliards de requêtes PHP traitées quotidiennement.

Mécanismes techniques de PHP2Shell

Le premier vecteur d'attaque exploite une mauvaise gestion des dépassements de capacité d'entrée. Lorsque le code PHP reçoit plus de données qu'il ne peut en traiter, le moteur supprime une partie du flux, mais conserve les octets résiduels en mémoire. Ces résidus peuvent être récupérés par un attaquant pour injecter du code malveillant. Le second vecteur repose sur le partage du global state entre plusieurs composants d'une même requête. PHP supprime ce état global à la fin du traitement, mais PHP2Shell intercepte les données avant leur suppression, ouvrant ainsi une fenêtre d'accès non autorisée. Le problème technique existe depuis plusieurs décennies, mais il n'avait jamais été considéré comme exploitable jusqu'à ce qu'un employé de Calif.io utilise le modèle GPT‑5.6 Sol pour analyser le code source, une étude financée par OpenAI.

Réponse de l’écosystème et correctifs

Après la découverte, un consortium de chercheurs et de fournisseurs a produit plus de 10 000 lignes de code de correctifs répartis sur plus de 20 fichiers PHP. Le correctif a été accéléré suite à une fuite sur un forum de développeurs, ce qui a contraint les mainteneurs à publier les patches en urgence. Cloudflare a mis à jour son réseau CDN pour filtrer les requêtes suspectes, tandis que CrowdStrike a intégré des signatures d’atténuation dans ses produits. Par ailleurs, OpenAI a diffusé un outil basé sur Codex permettant d’identifier les installations PHP vulnérables dans un environnement donné.

Implications pour la sécurité des infrastructures web

Les organisations doivent d'abord recenser leurs instances PHP, en portant une attention particulière aux versions anciennes qui ne reçoivent plus de mises à jour officielles. La rapidité de déploiement du correctif devient critique, car l'exploitation peut se réaliser en quelques secondes et permettre la lecture de bases de données ou le lancement d’attaques ciblées contre les visiteurs. Les mesures d’atténuation temporaires, comme le filtrage au niveau du CDN, ne remplacent pas le patch. Enfin, la découverte montre que l’utilisation d’IA générative pour l’audit de code peut transformer la perception de la « théorie » en pratique exploitable, incitant les équipes de sécurité à réévaluer les risques des vulnérabilités longtemps considérées comme inoffensives.