Contexte et portée

Wiz Research a identifié plusieurs vulnérabilités critiques dans le cœur de PHP, le langage qui alimente près de 70 % des sites web. Les failles touchent chaque version publiée au cours de la dernière décennie, depuis PHP 5.4, et ont été corrigées le 21 octobre 2026 via un correctif officiel. Elles sont regroupées sous deux CVE avec un score CVSS de 9,2, ce qui les classe parmi les plus sévères jamais découvertes dans ce logiciel.

Mécanisme des vulnérabilités

Les défauts sont des problèmes de sécurité mémoire liés à la gestion des erreurs fatales, notamment les dépassements de mémoire (out‑of‑memory). Lorsqu’une requête se termine de façon anormale, l’état interne de PHP reste corrompu et peut être réutilisé par une requête suivante ou un autre worker. Cette réutilisation expose le contenu de la mémoire du processus, permettant la divulgation d’informations sensibles (mots de passe, jetons, clés API) ou la corruption menant à une exécution de code à distance non authentifiée. Le script d’exploitation php2shell a démontré la capacité d’injecter du code sur les images Docker récentes de WordPress, Drupal et Joomla, mais le problème persiste même avec une application « Hello World » basique tant que le moteur PHP est vulnérable.

Analyse d'impact et rôle de l'IA

L’exploitation combine plusieurs bugs et nécessite d’ajuster le chainage en fonction du layout mémoire propre à chaque version ou configuration, ce qui rendait la mise en œuvre pratiquement impossible sans assistance. Des modèles d’IA de pointe ont automatisé le processus de recherche de chaînes exploitables, réduisant le temps de développement de plusieurs semaines à quelques heures. Cette accélération montre que la complexité technique ne constitue plus une barrière fiable : les attaquants peuvent désormais transformer des failles anciennes en menaces actives rapidement, augmentant le risque de compromission massive de sites web.

Mitigation et recommandations

Le correctif publié le 21 octobre 2026 élimine la racine du problème dans toutes les versions concernées. Les opérateurs doivent appliquer immédiatement les mises à jour, activer les détections d’exploitation proposées par les solutions de sécurité (par ex. Wiz Defend) et envisager des politiques de réponse automatisées capables de terminer les processus suspects. En l’absence de mise à jour, la surveillance des accès mémoire anormaux reste la seule défense résiduelle.