Deux failles critiques de PHP, baptisées PHP2Shell et identifiées CVE-2026-109618 et CVE-2026-109619, permettent à un attaquant non authentifié d’exécuter du code à distance sur un serveur web. Découvertes par un chercheur utilisant le modèle GPT-5.6 Sol d’OpenAI, elles ont été confirmées indépendamment par Wiz, une division de Google Cloud. Des correctifs ont été publiés pour PHP 8.2.12, 8.3.36, 8.4.27 et 8.5.12, tandis que des rétroports étaient en cours pour les versions 7.4 à 8.1. Environ un tiers des sites Internet utilisant PHP resteraient non corrigés, et plus de 800 000 hébergeurs continueraient à utiliser des versions trop anciennes pour recevoir une correction. Les Impacts opérationnels ont déjà été observés, notamment en Finlande et aux Pays-Bas, où plusieurs services gouvernementaux ont été mis hors ligne par précaution.
Source: Lire l’article original
