PHP2Shell : une faille trouvée par l'IA ferme des sites au Québec

2026-10-23 · 5 min de lecture · Cybersécurité

PHP2Shell désigne deux failles critiques du moteur PHP, découvertes avec l'aide de modèles d'IA et corrigées le 21 octobre 2026. Ottawa, la SAQ et la STM ont fermé des sites par précaution : voici les cinq gestes à poser cette semaine.

PHP2Shell est le nom donné à deux vulnérabilités critiques du moteur PHP (CVE-2026-109618 et CVE-2026-109619), corrigées le 21 octobre 2026. Notées 9,2 sur l'échelle CVSS v4.0 (Common Vulnerability Scoring System), elles permettent à un attaquant non authentifié d'exécuter du code à distance sur un serveur web. Leur particularité : elles ont été trouvées par des chercheurs assistés de modèles d'intelligence artificielle (IA), puis exploitées avant même la publication des correctifs.

Le même jour, le Centre canadien pour la cybersécurité a publié l'alerte AL26-026 et le gouvernement fédéral a retiré temporairement un nombre non divulgué de ses sites, a confirmé le ministre de l'IA, Evan Solomon. Au Québec, la Société de transport de Montréal (STM) a fermé stm.info vers midi et la Société des alcools du Québec (SAQ) a suspendu son site à titre préventif, selon Radio-Canada et CTV News (21 octobre 2026). La SAQ affirme n'avoir détecté aucune intrusion.

Qu'est-ce que PHP2Shell change pour une entreprise ?

PHP est le langage qui fait tourner, selon Wiz Research, environ 70 % des sites web dans le monde, dont WordPress, Drupal et Joomla. Les failles se trouvent dans le moteur lui-même, pas dans une extension : une organisation est exposée même si son code applicatif est irréprochable.

Le Centre canadien pour la cybersécurité précise que toutes les installations PHP qui servent des requêtes web sont à risque, qu'elles reposent sur PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP ou LiteSpeed. Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Comment l'IA a-t-elle accéléré la découverte et l'attaque ?

Wiz Research indique avoir identifié les vulnérabilités avec son outil Wiz Atlas et deux modèles de pointe (Gemini 4 Argon et GPT-5.6 Sol), en collaboration avec la firme Calif et l'équipe Codex Security d'OpenAI. Selon Wiz, un seul chercheur a accompli en une semaine un travail qui aurait demandé des mois à une équipe spécialisée.

L'accélération joue aussi en faveur des attaquants. Amazon Threat Intelligence rapporte une première tentative d'exploitation contre son réseau de leurres MadPot le 17 octobre 2026, soit quatre jours avant la divulgation coordonnée. La firme watchTowr a confirmé le 20 octobre que des détails avaient fuité, puis observé une exploitation active des deux failles.

Pour un dirigeant ou un CTO (Chief Technology Officer), la leçon dépasse PHP : quand l'IA réduit la découverte d'une faille de plusieurs mois à une semaine, le délai entre la publication d'un correctif et sa première exploitation se compte en heures. L'enjeu rejoint celui des agents capables de pénétrer des sites d'entreprises, documenté sur ce blogue avec les essais de Cairn.

Quelles sont les 5 actions prioritaires cette semaine ?

Les recommandations du Centre canadien pour la cybersécurité, de la CISA (Cybersecurity and Infrastructure Security Agency) et du CERT-EU convergent vers cinq gestes :

Inventorier tous les serveurs PHP, en commençant par ceux exposés à Internet : site corporatif, intranet, boutique en ligne, extranet client, outils hérités.
Appliquer les versions 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 et redémarrer les services PHP, faute de quoi l'ancien code reste chargé en mémoire.
Isoler ce qui ne peut pas être corrigé : le Centre recommande de retirer du réseau public les applications vulnérables, comme l'ont fait Ottawa, la SAQ et la STM.
Exiger une confirmation écrite des hébergeurs et agences web : la majorité des PME québécoises confient leur site à un tiers.
Chercher des traces de compromission depuis le 17 octobre 2026 : journaux web, fichiers PHP récemment créés, comptes administrateurs inconnus.

Que dit la Loi 25 en cas d'intrusion ?

Si l'exploitation d'une faille donne accès à des renseignements personnels, la Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) s'applique. L'article 3.5 oblige l'entreprise à prendre des mesures raisonnables pour diminuer le risque de préjudice et, si ce risque est sérieux, à aviser avec diligence la Commission d'accès à l'information (CAI) et les personnes concernées. L'article 3.8 impose de consigner chaque incident dans un registre, même sans préjudice sérieux.

Le Secrétariat du Conseil du Trésor du Canada a indiqué le 21 octobre 2026 qu'aucun indice ne montrait une compromission des systèmes fédéraux. Une entreprise doit pouvoir documenter la même conclusion, journaux à l'appui.

Questions fréquentes

Mon site WordPress est-il touché par PHP2Shell ?

Probablement, si son serveur exécute une version de PHP antérieure à 8.5.12, 8.4.27, 8.3.36 ou 8.2.35. Les failles PHP2Shell se situent dans le moteur PHP, pas dans WordPress. Wiz Research affirme avoir démontré une exécution de code à distance sans authentification sur WordPress, Drupal et Joomla à jour.

Mettre à jour WordPress suffit-il à corriger la faille ?

Non. Une mise à jour de WordPress, de ses thèmes ou de ses extensions ne modifie pas le moteur PHP installé sur le serveur. Seule la mise à niveau de PHP vers une version corrigée, suivie d'un redémarrage des services, élimine le risque. Pour un site hébergé, c'est l'hébergeur qui applique ce correctif.

Pourquoi la SAQ et la STM ont-elles fermé leurs sites ?

La STM et la SAQ ont mis leurs sites hors ligne le 21 octobre 2026 par mesure de précaution, le temps d'appliquer les correctifs PHP. La SAQ a déclaré n'avoir détecté aucune intrusion. Le gouvernement fédéral a agi de la même façon sur avis du Centre canadien pour la cybersécurité.

Une faille exploitée oblige-t-elle à aviser la CAI ?

Seulement si l'incident touche des renseignements personnels et présente un risque de préjudice sérieux, selon l'article 3.5 de la Loi sur la protection des renseignements personnels dans le secteur privé. Dans ce cas, l'entreprise avise la Commission d'accès à l'information et les personnes concernées. Tout incident de confidentialité doit toutefois être inscrit au registre prévu à l'article 3.8.

Sources

Centre canadien pour la cybersécurité, « AL26-026 : Vulnérabilités critiques touchant PHP (CVE-2026-109618 et CVE-2026-109619) », 21 octobre 2026 : https://www.cyber.gc.ca/en/alerts-advisories/al26-026-critical-vulnerabilities-impacting-php-cve-2026-109618-cve-2026-109619
Centre canadien pour la cybersécurité, « Statement regarding critical vulnerabilities in PHP affecting websites and online services », 21 octobre 2026 : https://www.cyber.gc.ca/en/news-events/statement-regarding-critical-vulnerabilities-php-affecting-websites-online-services
Secrétariat du Conseil du Trésor du Canada, « Statement from the Office of the Chief Information Officer of the Government of Canada on Critical Vulnerabilities in PHP », octobre 2026 : https://www.canada.ca/en/treasury-board-secretariat/news/2026/10/statement-from-the-office-of-the-chief-information-officer-of-the-government-of-canada-on-critical-vulnerabilities-in-php.html
CISA, « Critical Vulnerabilities in PHP Require Immediate Patching », 21 octobre 2026 : https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
CERT-EU, « Critical Vulnerabilities in PHP », avis 2026-018 : https://cert.europa.eu/publications/security-advisories/2026-018/
Wiz Research, « PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet », octobre 2026 : https://www.wiz.io/blog/php2shell-php-rce
Amazon Web Services, « Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot », octobre 2026 : https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/
Radio-Canada, « Faille informatique mondiale : la SAQ, la STM et la SAAQ verrouillent leurs sites », 21 octobre 2026 : https://ici.radio-canada.ca/nouvelle/2294700/panne-site-web-php
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1

Voir tous les articles