Deux failles sont restées presque inaperçues dans le code de PHP pendant environ vingt ans. Ce n'est pas une équipe d'ingénieurs en sécurité qui les a trouvées, mais une IA — en réalité deux, travaillant chacune de son côté. Wiz, société de cybersécurité détenue par Google, a lancé son propre agent IA sur le code source de PHP. De son côté, une firme nommée Calif a obtenu un résultat quasi identique avec le modèle GPT-5.6 d'OpenAI, surnommé Sol. Les deux ont abouti à la même faille, désormais appelée PHP2Shell et répertoriée sous CVE-2026-109618 et CVE-2026-109619.
En clair, cette faille permet d'exécuter du code à distance sur le serveur de quelqu'un d'autre, sans mot de passe ni identifiant — une prise de contrôle totale du site. PHP fait fonctionner environ sept sites sur dix parmi ceux dont le langage est identifiable, dont WordPress et des milliers de portails gouvernementaux. Wiz a elle-même qualifié la découverte de « l'une des vulnérabilités les plus graves jamais trouvées dans PHP, et probablement dans l'histoire du logiciel ».
Wiz a découvert la première faille le 19 août et l'a signalée à l'équipe PHP cinq jours plus tard. Les développeurs ont discrètement préparé un correctif coordonné avec Cloudflare, AWS, Microsoft, Google Cloud, Automattic (propriétaire de WordPress.com), Fastly, Akamai, Imperva et Vercel — une liste qui montre à quel point une large part d'internet dépendait de ce correctif. La divulgation publique était prévue pour le 22 octobre, mais les détails ont fuité le 20, forçant une sortie anticipée : PHP a publié ses correctifs le 21 octobre à 14h00 UTC pour les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35, avec des rétroportages pour 8.1, 8.0 et 7.4.
Pendant le déploiement des correctifs, plusieurs gouvernements ont coupé par précaution une partie de leurs services. Aux Pays-Bas, le portail Overheid.nl, le site de la fédération de football KNVB, les pages des principaux partis et plusieurs hôpitaux sont tombés. En Finlande, l'opérateur Valtori a déconnecté le réseau d'État, la France a placé les sites du ministère de l'Intérieur en maintenance préventive, le Danemark a coupé la plateforme scolaire Kombit, et au Japon, Sakura Internet a désactivé une partie de ses fonctions de base de données. La NSA américaine a publié un avertissement public rare, et Wikipédia a temporairement arrêté une partie de ses systèmes.
Ce qui rend cette histoire marquante, ce n'est pas tant la faille elle-même que son découvreur. Deux entreprises, deux IA différentes, la même trouvaille — des mois avant qu'un humain ne la signale. Les experts en sécurité le disent désormais sans détour : si l'IA sait exhumer des trous vieux de vingt ans dans un code auquel fait confiance tout internet, les mêmes outils finiront aussi entre les mains des attaquants, et le compte à rebours se jouera alors en heures, pas en mois.
