Mercredi, une technologie web open-source vieille de plusieurs décennies appelée PHP a failli casser Internet, à cause de deux vulnérabilités qui sommeillaient depuis des années jusqu'à ce que des chercheurs récemment trouvent un moyen de les exploiter. Les bugs sont surnommés PHP2Shell, officiellement désignés CVE-2026-109618 et CVE-2026-109619. En termes simples, les bugs permettent à quiconque sait comment les exploiter de s'introduire dans un système en ligne fonctionnant sous PHP, comme un site web ou un serveur exposé à Internet, sans avoir besoin d'un mot de passe pour accéder ou modifier ses données. Comme situations vont, celle-ci était plutôt énorme, forçant des millions de personnes à travers le monde à se précipiter pour corriger leurs systèmes avant que des pirates malveillants ne puissent en abuser.

La Fondation PHP, qui maintient le logiciel web PHP, a publié publiquement mercredi des correctifs qui réparent les bugs, lesquels, une fois installés, empêchent les serveurs exposés au web d'être attaqués. La fondation avait déjà donné à certaines des plus grandes entreprises Internet et hébergeurs web qui dépendent de PHP une longueur d'avance pour le patch. Grâce à des semaines de discussions en coulisses et une coordination minutieuse à travers l'industrie, le monde - jusqu'à présent - a largement évité une exploitation massive d'Internet. À partir de mercredi, les gouvernements ont commencé à exhorter les citoyens et les entreprises ayant des sites web à prendre des mesures pour atténuer les risques de leur côté. Un large éventail d'industries a fermé leurs sites web et mis hors ligne des services pour corriger leurs systèmes. Banques, détaillants, sites de jeux, boutiques en ligne, hôpitaux et certaines agences gouvernementales ont mis hors service leurs serveurs pour prévenir les attaques. Mais les chercheurs en sécurité avertissent que la situation n'est pas encore terminée, et qu'un grand nombre de systèmes à travers le monde restent non corrigés et vulnérables aux piratages et au vol de données. Il est également peu probable que ce soit la dernière grande frayeur logicielle d'Internet, certains s'attendant à ce que l'avènement de l'IA découvre rapidement des vulnérabilités encore non découvertes qui attendent d'être trouvées et exploitées.

Des chercheurs en sécurité de Calif ont trouvé deux bugs dans PHP, un langage de programmation largement utilisé dans le monde pour construire des sites web et des applications web, à la fois sur Internet et hébergés localement sur les réseaux d'entreprise, comme les intranets et les sites internes. PHP est open-source, ce qui signifie qu'il est gratuit et disponible pour être utilisé par quiconque pour presque n'importe quelle raison. En tant que tel, il est devenu l'un des langages de programmation web les plus populaires et les plus largement utilisés sur le web aujourd'hui. Les deux bugs ont été découverts pour la première fois en 2024 mais n'étaient pas considérés comme exploitables à l'époque, et n'ont pas été corrigés. Des chercheurs en sécurité ont récemment trouvé un moyen de les exploiter, ce qui les a incités à alerter les créateurs du logiciel pour qu'ils les réparent. Calif a alerté la Fondation PHP, qui a entamé une période de correction des bugs et de divulgation coordonnée. La fondation a fait cela en offrant les informations et les correctifs sur les problèmes de sécurité sous un embargo strictement gardé - essentiellement gardé confidentiel jusqu'à une date limite spécifique - pour donner aux grandes entreprises une opportunité de prendre de l'avance sur l'installation des correctifs.

PHP2Shell est assez sérieux car il peut être abusé à distance via Internet et sans que la victime ait à cliquer sur un lien ou à ouvrir un fichier. C'est ce qu'on appelle l'exécution de code à distance, et c'est l'un des types de bugs les plus dommageables à exploiter car ils peuvent accorder à un pirate n'importe où dans le monde un contrôle effectif total sur un système affecté et non corrigé. Pire, ces bugs PHP spécifiques rendent possible l'intrusion dans n'importe quel système non corrigé sur Internet sans avoir besoin d'un mot de passe ou de toute autre information d'identification sur Internet, ce qu'on appelle l'accès non authentifié. Cela permettrait à un pirate malveillant de planter ensuite un logiciel malveillant sur l'ordinateur, par exemple pour voler des données ou simplement pour maintenir un pied-à-terre à long terme auquel il pourra revenir plus tard.

Les bugs sont particulièrement risqués car PHP est un logiciel extrêmement populaire, en partie parce qu'il est gratuit et relativement facile à utiliser, mais aussi parce qu'il existe depuis des décennies. Environ 70 % de l'Internet exposé au web repose sur PHP, bien que son utilisation ait lentement diminué au fil des ans au profit de technologies plus récentes.