Accueil / LinkedIn sous la plume / PHP en feu, mairie en flammes, rage en héritage
LinkedIn sous la plume

PHP en feu, mairie en flammes, rage en héritage

pjduvivierditsage · 22 octobre 2026 · 12 min de lecture

Une journée où le Web tremble sur ses fondations PHP pendant que la légitimité de l'État part en fumée à Limoges. Entre bots sentinelles, justice à géométrie variable et macarons sous protection policière, la chronique cherche le fil rouge de la colère.

La journée commence par une alerte qui n'a rien d'un exercice de style : Pierre Jean Duvivier dit Sage relaie la publication par l'équipe officielle PHP de deux vulnérabilités critiques notées 9,2 sur l'échelle CVSS, avec des correctifs exceptionnellement diffusés le jour même, le 21 octobre à 16 h heure suisse. Le point notable n'est pas la énième faille d'un plugin WordPress, mais bien le langage lui-même, celui qui fait tourner une part considérable du Web, avec un risque d'exécution de code à distance aux conséquences potentielles pour WordPress, WooCommerce, Magento et toutes les applications PHP exposées. L'auteur rappelle au passage une vérité que les vendeurs de pare-feu préfèrent chuchoter : un WAF, même premium, ne remplace jamais un correctif sur l'interpréteur.

Mathias Payer, lui, résume la semaine avec un flegme qui confine au désespoir : une exécution de code à distance dans PHP, des autorités de certification dont la clé privée tenait en un « 4 », et toutes les données volées puis rançonnées. Il s'interroge sur les réjouissances à venir d'ici la fin de semaine, ce qui constitue une forme d'optimisme inversé. Nicolas MARIOTTE complète le tableau en évoquant la fermeture préventive de nombreux sites publics en France et à l'étranger dès le mercredi 21 octobre, tandis que Sagi Tzadik rappelle l'ordre de grandeur qui donne le vertige : environ 70 % du Web doit être corrigé au plus vite.

L'ironie de l'affaire, c'est que la faille n'est pas née ce matin. Pierre Jean Duvivier dit Sage détaille la chronologie confirmée par la PHP Foundation : dès 2024, un développeur du cœur de PHP repère les premiers signes lors d'un audit mené par Quarkslab, sans que la gravité réelle soit démontrée. Le 11 août 2026, Ryan Austin, chercheur chez Calif, démontre une possibilité d'exécution de code à distance en s'appuyant sur GPT-5.6 Sol d'OpenAI, qui signale indépendamment la même cause fondamentale ; Wiz Research découvre et signale ensuite des vulnérabilités exploitables avec Gemini 4 Argon et GPT-5.6 Sol, avant la publication des correctifs pour CVE-2026-109618 et CVE-2026-109619. La Foundation remercie explicitement Ryan Austin, Amy Burnett d'OpenAI Codex Security, Wiz, Quarkslab et OSTIF. Ce n'est donc pas une IA qui a déniché une faille inédite : c'est une faiblesse ancienne, jugée difficile à exploiter, que des modèles avancés ont transformée en attaque concrète.

Karim Z. ne prend pas de gants : les exploits #php2Shell sont actifs et vérifiés, à traiter comme priorité numéro un de la journée. Iyán M. apporte une note plus réjouissante en signalant l'arrivée d'OpenSSH 10.6p1-2 dans les dépôts stables d'Arch Linux, avec deux raisons de s'en réjouir, dont une dimension post-quantique. Pendant ce temps, Zaid Sabih Al Quraishi rappelle une leçon que les développeurs oublient avec constance : Uber a été compromis deux fois pour exactement la même raison, un secret laissé dans un dépôt de code, car ce qu'un développeur supprime n'est pas toujours vraiment parti.

Face à cette avalanche, Pierre Jean Duvivier dit Sage pose un constat tranchant : l'humain ne peut plus défendre les serveurs. Il rappelle que jusqu'à 16 h, ceux qui ont découvert les deux failles critiques de PHP, qui équipe selon lui 70 % du Web mondial, pouvaient prendre le contrôle des serveurs qu'ils voulaient, et que cela restera possible pendant des mois. Sa réponse tient en une formule : face aux bots, il faut des bots. Chez ThirdBrain Group, il travaille depuis un an à fiabiliser avec DSYS des agents autonomes sentinelles, pour leurs propres besoins et non pour la vente, en avouant que c'est très difficile et qu'ils ont souvent un temps de retard sur des agences gouvernementales supposées disposer de modèles frontières.

Cette accélération, il la raconte aussi de l'intérieur : l'IA fait disparaître ce qui constituait l'essentiel du temps d'un projet informatique, l'exécution technique, tandis que concevoir, décider et contrôler restent nécessaires. Il dit avoir réalisé plusieurs projets en quelques heures de prompts et de tests là où il aurait fallu des mois, et avoir construit en deux heures avec DeepSeek-v4 Flash, donc pas un modèle frontière, un harnais de sécurité qu'il estime à plusieurs semaines de travail pour un développeur expérimenté. Il précise honnêtement qu'il s'agit de projets internes sans client externe, donc d'un coût non réplicable tel quel. La suite logique arrive le soir même : il partage publiquement un prompt et un harnais de sécurité pour migrer vers PHP 8.5.12, en signalant que les dépôts classiques des distributions ne fourniront pas la version et qu'il faut demander à Opencode, en mode PLAN, d'adapter le fichier à son propre serveur.

Le fil sécuritaire ne se limite pas à PHP. Quentin Kaiser signale une vulnérabilité affectant l'implémentation propriétaire du 802.11 chez Broadcom, présente dans leur SDK depuis au moins 2010, avec un correctif incomplet publié discrètement en 2018. La précision chronologique a ici quelque chose de glaçant : une décennie et demie de présence silencieuse dans des routeurs, et un rustine posée sans bruit.

Sur le terrain social, le ton change mais la gravité reste. Pierre Jean Duvivier dit Sage revient sur l'incendie de la mairie de Limoges, moins pour les flammes que pour les applaudissements d'une foule compacte et diverse devant un symbole de la République. Il y voit le risque d'une période de pré-insurrection et ce qu'il nomme un nihilisme démocratique, accéléré selon lui par le COVID, les confinements et le sentiment d'arbitraire, en avertissant que la répression perçue comme injuste alimentera la mécanique. Il cite par ailleurs Judith P. Butler dans « Ce qui fait une vie » : la non-violence n'est pas un état pacifique mais un combat social et politique destiné à rendre la rage articulable et efficace, un « fuck you soigneusement élaboré ». Le Point apporte un chiffre qui éclaire le terreau : 80 % des jeunes estiment vivre moins bien que leurs parents.

La question de la justice revient alors comme un leitmotiv. Pierre Jean Duvivier dit Sage, qui se dit peu amateur de lutte des classes, s'agace d'un traitement différencié : soupçons de viols multiples pour un notable, millions détournés pour une candidate, et sept mois ferme pour un masque à gaz. Il redoute que le sentiment d'injustice ne produise demain des violences plus fortes. Il revient plus tard sur la condamnation de Marine Le Pen, citant les attendus de la cour, trois ans d'emprisonnement dont deux avec sursis, 100 000 € d'amende et 45 mois d'inéligibilité dont 30 avec sursis, pour 2,8 millions d'euros dans l'ensemble de l'affaire et 1,485 million retenus dans l'appréciation de sa responsabilité. Sa chute, grinçante, demande combien de pulls volés cela représente.

Le même auteur propose, face à la spirale, une sortie de crise en cinq points : démission du chef de l'État, du gouvernement et des députés, gouvernement par intérim multipartite à la suisse, interdiction des manifestations jusqu'aux élections avec gel des revendications, décentralisation autour d'une assemblée des maires, et interdiction de retour pour les élus nationaux ayant exercé jusqu'en octobre 2026. Il fustige au passage les outrances du RN et des LR appelant à tirer dans le tas comme les provocations de LFI, en rappelant qu'un policier a le droit de rentrer chez lui embrasser ses gosses. Et comme la politique a ses priorities, il note que les macarons et chocolats de la maison Trogneux, au Touquet et à Amiens, étaient bien protégés par une compagnie de CRS mobilisée devant les boutiques du frère de Brigitte Macron, alors que des maires réclamaient davantage de forces de l'ordre.

Reste une question de posture, posée par Vincent Edin sur le droit de corrompre et la lutte contre la corruption, et une autre, plus terre à terre, de Pierre Jean Duvivier dit Sage : sont-ils vraiment des chefs d'entreprise, ces patrons qui ressemblent davantage à des sportifs de haut niveau sponsorisés qu'à des entrepreneurs, et qui semblent prendre un plaisir coupable à perdre des milliards en jouant au prophète ? Entre une faille qui traverse 70 % du Web, une mairie qui brûle et des macarons sous escorte, la journée aura au moins eu le mérite de la cohérence : partout, ce sont les symboles qui prennent feu, et les correctifs qui arrivent trop tard.

Mon bestiaire du jour

Les plumes et les voix croisées dans cette édition :

Synthèse éditoriale produite avec l’assistance de DeepSeek à partir des publications listées ci-dessus.

Mots-clés cybersécuritéIAJusticeLimogesPHP

À lire aussi

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *