Au cours des dernières 48 heures, de multiples failles de sécurité et vulnérabilités ont été signalées en ligne. Bien que PHP2Shell soit toujours la principale vulnérabilité qui fait peur à tout le monde, ce n’est pas le seul bug critique signalé au cours des deux derniers jours.

Désormais, personne ne panique ! Oui, c’est un peu effrayant que tout sur Internet se brise en même temps, mais mettons nos canards en rang avant de commencer à débrancher tous nos appareils électroniques et à couvrir nos fenêtres de papier d’aluminium. Tout d’abord, est-ce une coïncidence si ces vulnérabilités ont toutes été signalées en même temps, ou y a-t-il une explication plus sinistre à tout cela ? Le dernier.

Je pense qu’il est préférable que les experts expliquent cela, alors voici deux citations qui, je crois, mettent tout cela en perspective. Tout d’abord, Matthew Prince, PDG de Cloudflare, sur X: « Au cours des 10 heures précédant l’annonce publique de la vulnérabilité PHP, nous avons constaté des milliers de tentatives d’exploitation sur le réseau Cloudflare. Cela est passé à des dizaines de milliers dans les 45 minutes qui ont suivi l’annonce, à des centaines de milliers en 2 heures et à des millions maintenant. »

Voici une deuxième citation de Recherche génialel’une des équipes de recherche qui ont découvert la vulnérabilité PHP : « Avant l’IA, ce travail manuel serait difficile à mettre en œuvre et encore plus difficile à mettre à l’échelle (…) Cela change l’économie de la découverte et de l’exploitation. À mesure que l’IA réduit les efforts nécessaires pour développer et adapter des exploits complexes, les vulnérabilités qui semblaient autrefois peu pratiques à exploiter deviennent des cibles viables. »

Voici la version du guide pour les nuls : L’IA s’est améliorée dans la détection et la correction des vulnérabilités. C’est bien! Mais l’IA s’est également améliorée dans l’exploitation des vulnérabilités, sa détection améliorée est donc une arme à double tranchant. C’est pourquoi tous ces problèmes sont signalés en même temps, et c’est aussi pourquoi ceux qui les signalent ont peur. Cela peut paraître un peu réducteur, mais je trouve cela étrangement comparable au Far West : tout le monde a une arme maintenant, donc il faut juste espérer que les méchants visent mal.

À cette fin, voici un tour d’horizon des vulnérabilités « critiques » les plus urgentes découvertes et signalées au cours de la semaine dernière. Gardez simplement à l’esprit qu’il y a de fortes chances qu’entre l’écriture de ceci et la publication, d’autres aient été signalés.

PHP2Shell (CVE-2026-109618 et CVE-2026-109619)

Très bien, commençons par le plus important : PHP2Shell. Mais qu’est-ce que PHP ? Autrefois, c’était l’abréviation de Personal Home Page, mais aujourd’hui, cela signifie Hypertext Preprocessor. Il s’agit d’un langage de programmation utilisé pour alimenter des sites Web, des applications mobiles, des applications de données, etc.

Une information qui semble avoir été partiellement négligée en ligne est que PHP2Shell est en réalité deux vulnérabilités en une : CVE-2026-109618 et CVE-2026-109619. Cependant, les deux vulnérabilités permettent le même exploit, communément appelé RCE (Remote Code Execution).

En termes simples, RCE permet à quelqu’un d’exécuter du code sur votre machine à distance et sans votre autorisation. Un estimé 70 % des sites Web sur Internet reposent sur PHP. C’est pourquoi la National Security Agency des États-Unis et le National Cyber ​​Security Center du Royaume-Uni ont suggéré que les sites Web restent fermés jusqu’à ce que les vulnérabilités soient corrigées.

GitLab (CVE-2026-110264)

GitLab, un gestionnaire de référentiel Git très similaire à GitHub, a signalé CVE-2026-110264 la nuit dernière. Il s’agit d’une autre vulnérabilité RCE, mais celle-ci présente un détail très inquiétant : CVE-2026-110264 est noté 10 sur 10 sur l’échelle du Common Vulnerability Scoring System.

Pour le contexte, les deux vulnérabilités PHP2Shell sont notées 9,2 sur 10 sur l’échelle Common Vulnerability Scoring System. Cela semble bizarre, non ? Comment diable PHP2Shell est-il si important, d’autant plus qu’il est censé menacer 70 % de tous les sites Web, alors que le CVSS de GitLab est plus élevé ?

D’après ce que j’ai compris, l’explication est assez simple : CVE-2026-110264 est plus facile à réaliser, car la base de données nationale sur les vulnérabilités explique qu’elle a un faible seuil de « complexité ». Le problème ne concerne apparemment que les versions antérieures à 2015 de GitLab, jusqu’à la version 7.0 incluse. Cela va probablement sans dire, mais GitLab recommande « fortement » « que toutes les installations GitLab autogérées soient immédiatement mises à niveau vers l’une de ces versions ».

Plex2Shell (plusieurs CVE)

PHP2Shell, c’est deux CVE en un, mais Plex2Shell en a quatre – et oui, la partie « Plex » du nom est une référence directe à la société de streaming Plex, qui compte plus de 42 millions d’abonnés actifs.

Voici une bonne nouvelle d’emblée : cela a été corrigé. Voici la mauvaise nouvelle : c’est vraiment très mauvais, donc si vous êtes abonné à Plex, vous feriez mieux d’espérer que vous avez déjà mis à jour tous vos logiciels et applications liés à Plex.

Plex signalé les vulnérabilités début septembre, mais nous n’avons reçu les CVE correspondants que le 20 octobre : CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 et CVE-2026-96656. La brève explication est que ces quatre vulnérabilités se combinent en une seule grande qui, vous l’aurez deviné, permet l’exécution de code à distance.

Selon Plex, plusieurs attaques ont été observées au cours du mois dernier, et le plus souvent, les gens utilisent cette vulnérabilité pour transformer leurs serveurs Plex en mineurs de crypto-monnaie : « Des serveurs compromis ont été utilisés pour exécuter des mineurs de crypto-monnaie et des logiciels proxy, qui acheminent le trafic d’autres personnes via la connexion Internet de la victime. »

A lire également