Les mises à jour de sécurité de PHP après les failles détectées par l’IA menaçant des milliers de sites

[DIGITAL Business Africa] – Retour à la normale parmi les éditeurs de site web. PHP apporte des correctifs après 2 failles détectées par l’intelligence artificielle. Un acte salvateur qui met des milliers de sites web à l’abris de cyberattaques oppurtunistes.

Tout est parti d’une alerte, le 21 octobre 2026. Le programme PHP, qui fait fonctionner près de 70 % des sites internet mondiaux (comme WordPress) rencontre deux failles informatiques très graves, surnommées « PHP2Shell ». Ces vulnérabilité ouvrent la voie aux pirates, leur permettant de prendre le contrôle total d’un site à distance et sans mot de passe. De nombreux sites gouvernementaux et d’entreprises ont choisi de fermer temporairement par précaution comme ce ministère de l’Intérieur en France.

« À la demande de l’ANSSI_FR, le ministère de l’Intérieur a procédé à la mise en maintenance préventive de plusieurs de ses sites internet. Cela fait suite à une vulnérabilité critique de sécurité, annoncée quelques heures auparavant par l’éditeur d’un composant logiciel générique utilisé à travers le monde… »

Pour corriger ce problème, l’organisation qui gère PHP a publié en urgence des mises à jour de sécurité indispensables (versions 8.2 à 8.5) :

– Correctif pour la CVE-2026-109618 : RCE via corruption de mémoire « Out-of-Memory » (OOM). Maintenant, le moteur de PHP valide l’état d’initialisation de chaque pointeur et structure interne. Cela avant de tenter de libérer la mémoire, empêchant un attaquant de forcer un plantage contrôlé pour y injecter des commandes.

– Correctif pour la CVE-2026-109619 : RCE via la persistance d’un état global obsolète. Tout pointeur vers la mémoire libérée est mis à zéro (null) avant même qu’une nouvelle requête ne puisse être lue par le processus de travail

Par Jean Materne Zambo, sources: PHP,  Snyk