L'IA découvre une faille critique « PHP2Shell » qui menace 70 % des sites web dans le monde

Le 21 octobre 2026, des outils de sécurité pilotés par l'IA, développés par OpenAI et Google Wiz, ont identifié deux vulnérabilités critiques de type « zero-day » dans PHP, le langage de script côté serveur qui fait fonctionner plus de 70 % de l'ensemble des sites web. Baptisées « PHP2Shell » et répertoriées sous les identifiants CVE-2026-109618 et CVE-2026-109619, ces failles permettent à des attaquants d'exécuter à distance du code malveillant sur tout serveur PHP non corrigé, leur donnant potentiellement le contrôle total des sites web et des données qu'ils contiennent.

La PHP Foundation a publié en urgence et par anticipation des correctifs après que les systèmes d'IA eurent signalé ces failles ; la fenêtre d'exploitation reste toutefois large. Les agences de cybersécurité d'Australie, des États-Unis, du Royaume-Uni, de l'Union européenne et du Japon ont publié des avis urgents demandant aux administrateurs web d'appliquer immédiatement les correctifs ou de déconnecter les serveurs concernés.

Cette découverte relance le débat sur le double rôle de l'IA en cybersécurité : les mêmes modèles capables de détecter des failles peuvent aussi aider des acteurs malveillants à les exploiter plus vite que les défenses traditionnelles ne peuvent réagir.