Le Centre de Réponse aux Incidents de Sécurité Informatique (CIRT.cm) alerte les organisations camerounaises sur la divulgation, le 19 octobre 2026, de plusieurs vulnérabilités critiques affectant le moteur du langage PHP. Regroupées sous le nom de code PHP2Shell, ces failles permettent à un attaquant non authentifié d’exécuter du code arbitraire sur un serveur web, quelle que soit l’application qui y tourne.

Des millions de serveurs concernés

PHP alimente environ 70 % des sites web dans le monde, dont WordPress, Drupal, Joomla et MediaWiki, l’infrastructure qui fait tourner Wikipédia. Toutes les versions publiées depuis PHP 5.4 sont touchées. Une faille dans le moteur concerne donc des millions de serveurs, indépendamment de la qualité du code applicatif qu’ils hébergent. Un simple programme affichant « Bonjour le monde » est vulnérable s’il tourne sur une version non corrigée.

Des failles découvertes grâce à l’IA

Les vulnérabilités ont été découvertes par les équipes de recherche de Wiz, avec l’appui de modèles d’intelligence artificielle de dernière génération. Elles dormaient dans la base de code depuis plus de dix ans. Ce qui a changé, c’est le coût de l’exploitation : là où un chercheur humain devait enchaîner plusieurs bugs et adapter un exploit à chaque configuration mémoire, un modèle d’IA le fait aujourd’hui en quelques heures.