PHP2Shell n’est pas apparu de nulle part. Deux ans avant l’alerte de cette semaine, un chercheur avait identifié une faille ayant la même cause profonde et déclaré que la PHP Foundation avait été informée, mais aucun correctif n’avait été déployé. La fondation a ensuite qualifié cette omission d’« échec structurel » lié à son processus décisionnel et à son manque de ressources.¹

À la mi-août, des chercheurs de Calif et de Wiz, détenue par Google, avaient découvert deux vulnérabilités critiques de PHP à l’aide d’outils d’IA, dont GPT-5.6 Sol d’OpenAI. Ces bugs, chacun évalué à 9,2 sur 10, pouvaient permettre à un intrus non authentifié d’exécuter du code à distance sur un serveur PHP — une perspective inquiétante pour un langage utilisé par environ 70 % des sites web dont la programmation côté serveur est connue.¹

La découverte a d’abord semblé être une victoire défensive. OpenAI a déclaré : « À notre connaissance, une IA de pointe a trouvé ces vulnérabilités avant les attaquants », tout en avertissant que les mêmes capacités pourraient aider les attaquants à créer rapidement des outils offensifs.² Cette dualité est devenue la tension centrale de l’histoire : l’IA avait révélé une faiblesse longtemps cachée, mais la divulgation et les correctifs pouvaient aussi fournir aux attaquants un plan d’action.

Mardi, Calif a accidentellement publié une vidéo d’exploitation de preuve de concept, accélérant une publication qui était prévue pour jeudi. La PHP Foundation a publié les correctifs avec 24 heures d’avance mercredi. À ce stade, du code prétendant exploiter PHP2Shell était apparu sur GitHub, bien que la fondation ait déclaré n’avoir vu aucune preuve d’un exploit public fonctionnel et décrit le code généré qui circulait comme incomplet ou non fonctionnel.¹

Les gouvernements ont considéré le risque comme immédiat. La NSA a exhorté les organisations à appliquer les correctifs sans attendre ou à mettre les systèmes hors ligne ; certains sites publics européens se sont éteints pendant que les opérateurs intervenaient. Son avertissement était sans détour : ces failles peuvent offrir « un accès direct au système de fichiers ou à la base de données du serveur ». ²

La course a peut-être déjà commencé. Amazon a déclaré avoir détecté une tentative d’exploitation quatre jours avant la divulgation publique et que les vulnérabilités étaient « désormais largement exploitées dans la nature ». ² Les outils commerciaux se sont aussi rapidement joints à la réponse : Aravind Srinivas a déclaré que les utilisateurs pouvaient recevoir des crédits pour vérifier leur exposition à PHP, tout en faisant la promotion d’un outil qui priorise les correctifs.Aravind Srinivas (AravSrinivas)³

L’épisode laisse une leçon plus difficile que le simple fait de corriger PHP : l’IA peut donner aux défenseurs un premier aperçu de la prochaine crise, mais elle réduit aussi l’intervalle avant que tous les autres ne la rattrapent.