Contexte et découverte

En octobre 2026, deux vulnérabilités classées CVE-2026-109618 et CVE-2026-109619 ont été publiées sous le nom de PHP2Shell. Elles permettent une exécution de code à distance (RCE) sur les installations PHP. Les failles ont été identifiées par deux équipes distinctes : la société californienne Calif (dans le cadre du programme « Patch the Planet » d’OpenAI) et la société israélo‑américaine Wiz, rattachée à Google Cloud. Les deux équipes ont utilisé des modèles d’IA de pointe – GPT‑5.6 Sol et Gemini 4 Argon – pour analyser le code source de PHP et générer les exploits.

Mécanisme d’exploitation automatisé

Le processus décrit par les chercheurs repose sur trois étapes automatisées. D’abord, le modèle LLM parcourt les diff de correctifs dès qu’une mise à jour de sécurité est annoncée. Ensuite, il remonte dans l’historique du dépôt pour identifier la partie du code correspondant à la vulnérabilité. Enfin, il synthétise un payload exploitable, souvent en quelques minutes. Cette chaîne de traitement a réduit le délai entre la divulgation d’une faille et la disponibilité d’un exploit fonctionnel de plusieurs semaines à moins d’une heure, comme le montre le timeline de 17 heures entre la fuite du patch et la diffusion d’exploits actifs.

Impact réel et portée

Les analystes de Wiz estiment que la vulnérabilité touche environ 70 % des sites web utilisant PHP, incluant des acteurs majeurs tels que la Wikimedia Foundation, DeviantArt, plusieurs services du gouvernement britannique, des banques japonaises et le site du programme BBC « The Traitors ». Les scores CVSS publiés initialement à 10.0 ont été corrigés à 9.2, indiquant une gravité élevée. La fuite du correctif avant l’embargo a permis aux acteurs malveillants de lancer des attaques avant même que les administrateurs puissent appliquer le patch, entraînant des interruptions de service sur un grand nombre de serveurs.

Limites et perspectives

Malgré l’efficacité des LLM pour générer des exploits, les chercheurs soulignent que la plupart des payloads produits sont du « slop » – du code qui ne fonctionne pas ou repose sur des hypothèses erronées, comme l’existence d’une inclusion de fichier préexistante. Ainsi, l’expertise humaine reste indispensable pour filtrer les faux‑positifs et valider les vecteurs d’attaque. De plus, la divulgation prématurée du correctif a mis en évidence un problème de coordination entre les projets open‑source et les équipes de sécurité, qui doit être résolu pour éviter que les annonces de patch ne deviennent des déclencheurs d’attaques automatisées.