Failles PHP trouvées par l'IA : le FSB donne l'alerte
Le Centre national de coordination des incidents informatiques (NKTsKI), qui dépend du FSB, a donné l'alerte après la découverte de deux failles critiques dans PHP, le langage sur lequel tournent 90,8 % des sites russophones. Ces failles ont été repérées avec l'aide de l'intelligence artificielle. Elles permettent de prendre le contrôle d'un site à distance, sans mot de passe.
Deux failles du langage PHP, notées 9,2 sur 10 sur l'échelle de gravité, ont conduit le Centre national de coordination des incidents informatiques (NKTsKI), qui dépend du FSB, à donner l'alerte en Russie. Enregistrées sous les références CVE-2026-109618 et CVE-2026-109619, elles ont été baptisées « PHP2Shell ». Leur particularité : elles ont été découvertes avec l'aide de l'intelligence artificielle.
L'avertissement a été diffusé par GosSOPKA, le système d'État de détection, de prévention et de traitement des conséquences des attaques informatiques. C'est le canal par lequel les autorités russes informent les organisations reliées au dispositif de protection du pays.
Un site entier pris sans mot de passe
Le NKTsKI décrit sans détour le danger. Ces failles permettent « de prendre à distance le contrôle d'un site sans mot de passe ». Elles permettent aussi d'« extraire de la mémoire du serveur les mots de passe, clés et autres données secrètes ». Autrement dit, l'attaquant ne prend pas seulement le site : il emporte de quoi ouvrir d'autres portes.
Ce sont des erreurs de gestion de la mémoire, notées 9,2 sur 10 selon la norme CVSS v4.0, ce qui les place au niveau de danger maximal. Avec l'ancienne version de la grille, la note monte à 9,8. La société spécialisée watchTowr leur a même attribué 10. Toutes les versions de PHP depuis la 5.4 sont touchées, soit une décennie de mises à jour successives.
Alexandre Leonov, de Positive Technologies, l'a souligné dans Rossiïskaïa Gazeta : le problème ne tient pas à l'erreur d'une application particulière, il se situe dans PHP lui-même. Corriger un seul site ne suffit donc pas, puisque c'est l'outil qui sert à les construire qui est en cause.
90,8 % des sites russophones concernés
Cette échelle explique la vitesse de la réaction. PHP fait tourner 90,8 % des sites russophones et 69,3 % des sites dans le monde. Ce langage, créé au milieu des années 1990, sert de base aux grands systèmes de gestion de sites, aux boutiques en ligne et à une large part des portails institutionnels.
Les estimations du nombre de sites réellement exposés en Russie vont d'environ 50 000 applications web, selon CNews, à environ 500 000 ressources web, selon Rossiïskaïa Gazeta. Le même journal indique que Cloudflare a observé les premiers signes d'exploitation dès le 21 octobre. Les attaquants n'avaient donc pas attendu pour s'en servir.
Mettre à jour, ou couper l'accès
La première consigne est simple : installer les correctifs. Les développeurs de PHP ont publié une mise à jour d'urgence le 21 octobre, avec les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Selon CNews, l'alerte s'adresse en particulier aux opérateurs d'infrastructures d'information critiques, c'est-à-dire aux systèmes dont une panne toucherait des secteurs vitaux du pays. La marche à suivre décrite par le journal tient en quatre temps : mettre PHP à jour sans délai, analyser les serveurs avec un antivirus, chercher dans les journaux des traces d'intrusion, puis signaler à GosSOPKA toute activité suspecte. Si la mise à jour ne peut pas être faite rapidement, les sites doivent être mis hors ligne ou fermés à l'accès extérieur le temps nécessaire.
Moscou n'est pas seule à avoir pris cette mesure. D'après Wikipédia et le site Runet, les Pays-Bas, la Finlande et la France ont débranché certains sites gouvernementaux par précaution le 21 octobre. Wikipédia cite aussi le Danemark, le Canada, la Wikimedia Foundation et Internet Archive, qui ont coupé leurs sites temporairement.
L'IA a trouvé la faille deux fois
La découverte a été faite deux fois, par deux équipes qui ne travaillaient pas ensemble. Ryan Austin, chercheur de la société Calif, l'a mise au jour en août 2026 avec GPT-5.6 Sol, le modèle d'OpenAI, dans le cadre du projet « Patch the Planet ». Wiz Research y est parvenue de son côté avec son outil Wiz Atlas, Gemini 4 Argon de Google DeepMind et GPT-5.6 Sol.
La chronologie publiée par Wiz donne une découverte le 19 août et un signalement à l'équipe de sécurité de PHP le 24 août. Les failles ont été rendues publiques le 21 octobre, en même temps que les correctifs. Selon Wikipédia, une fuite avait conduit à une première annonce dès le 20 octobre.
Ce double résultat change la façon de travailler des services de sécurité. Des modèles différents, utilisés par des équipes séparées, ont trouvé la même brèche dans un langage utilisé depuis trente ans, à quelques semaines d'écart. Ce que l'intelligence artificielle a trouvé dans PHP, elle peut le chercher ailleurs, pour ceux qui réparent comme pour ceux qui attaquent. Les centres d'alerte comme le NKTsKI devront donc agir à sa vitesse.