PHP2Shell : PHP accuse Chainguard d’avoir brisé l’embargo, police.be toujours en maintenance

Un jour après la journée où l’Europe a débranché ses sites publics (on en a parlé ICI), l’heure est aux comptes. Dans un long billet publié le 21 octobre 2026, la PHP Foundation, qui soutient le développement du langage, accuse nommément l’entreprise américaine Chainguard d’avoir « unilatéralement brisé l’embargo » sur les failles PHP2Shell. Chainguard dément toute fuite. En Belgique, le site de la police fédérale était toujours en maintenance ce jeudi à midi.

Le récit de PHP : une fuite en trois temps

Selon la PHP Foundation, la divulgation coordonnée a tenu jusqu’au mardi 20 octobre. Vers 15 h UTC, les références des deux failles ont commencé à circuler sur des forums et les réseaux sociaux, avec une fausse note de gravité de 10 sur 10 (la vraie est de 9,2). Aucun détail technique n’avait fui. PHP a alors avancé sa publication d’un jour, au mercredi 21 à 14 h UTC.

Vers 20 h UTC, la société de sécurité Calif, qui avait signalé les failles, a « par erreur » publié une vidéo montrant son attaque de démonstration contre plusieurs cibles. Supprimée, elle a continué de circuler en copie et a accéléré le développement d’attaques. Des conseils transmis à quelques opérateurs d’infrastructures critiques ont peut-être fui aussi. Puis, le mercredi à 7 h 41 UTC, plus de six heures avant la publication officielle, Chainguard a diffusé des images logicielles contenant le correctif. « N’importe quel attaquant pouvait alors étudier le correctif » pour en déduire la faille, alors que les autres utilisateurs de PHP attendaient encore, écrit la fondation, qui dénonce des semaines de travail réduites à néant.

La défense de Chainguard

Le patron de Chainguard, Dan Lorenc, ne conteste pas la chronologie, mais affirme à The Register que son entreprise « n’a pas fuité ». Prévenu le vendredi par un chercheur que « quelque chose arrivait dans PHP », il dit avoir retrouvé les mêmes failles le soir même avec un modèle d’IA de pointe, à partir d’une simple consigne : « trouve de graves vulnérabilités dans PHP ». Le mardi soir, des démonstrations circulaient et des éditeurs signalaient des attaques réelles : il a choisi de publier. « C’est une divulgation coordonnée, sauf s’il y a des preuves d’exploitation active », résume-t-il. Ses pièges à pirates ont, selon lui, capté le mercredi des attaques venant d’adresses chinoises et russes. « Je pense que c’est la nouvelle normalité : on peut construire une attaque en quelques heures sans même savoir quelle est la faille. »

Une faille repérée dès 2024

Le billet de la PHP Foundation révèle aussi que le premier défaut était connu depuis 2024. Un développeur l’avait repéré après un audit de sécurité financé par l’agence allemande Sovereign Tech Agency, mais l’équipe n’arrivait pas à choisir entre plusieurs correctifs, tous imparfaits. Le 11 août 2026, Calif et OpenAI l’ont signalé séparément le même jour, puis Wiz le 24 août. Les trois disent avoir utilisé l’IA pour leurs recherches. La fondation indique avoir aussi fait analyser PHP plus tôt dans l’année avec Claude Mythos, le modèle d’Anthropic. Revers de la médaille, l’équipe de sécurité croule sous les signalements : 15 failles publiées depuis le 1er juillet et plus de 100 rapports invalides ou en double.

En Belgique, le jour d’après

Ce jeudi vers 12 h, nos vérifications montraient un retour progressif. Les sites de belgium.be, du SPF Affaires étrangères, du SPF Emploi, de la Région flamande et de Smartschool répondaient de nouveau. Police.be affichait toujours sa page de maintenance, finances.belgium.be renvoyait une erreur, et le site du CCB refusait l’accès. Pour les administrateurs, la consigne ne change pas : installer PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, ou couper le site.

En bref

• La PHP Foundation accuse Chainguard d’avoir publié le correctif plus de six heures avant la date convenue.
• Chainguard dément toute fuite et invoque des attaques déjà en cours.
• Le premier défaut était connu depuis 2024 ; Calif, OpenAI et Wiz l’ont signalé en août 2026 avec l’aide de l’IA.
• Jeudi à midi, police.be restait en maintenance ; plusieurs sites publics belges étaient revenus.

Sources : PHP Foundation (21 octobre 2026) ; The Register (22 octobre 2026) ; PHP, avis de sécurité ; vérifications de la rédaction le 22 octobre 2026 vers 12 h.

Le Bien Heureux · Rédaction Capibara · Jeudi 22 octobre 2026