Picus Security : La vulnérabilité PHP2Shell révèle les limites des tests de pénétration automatisés
La divulgation de failles critiques dans PHP a mis en évidence les difficultés des outils de test d'intrusion automatisés à évaluer la protection des entreprises avant l'existence d'exploits fiables.
L'identification en octobre 2026 de deux vulnérabilités critiques dans le cœur de PHP (CVE-2026-109618 et CVE-2026-109619), surnommées PHP2Shell, a mis en lumière les limites des méthodes actuelles de validation de la sécurité. Ces failles affectant directement l'interpréteur PHP, leur surface d'attaque est étendue, touchant aussi bien les sites web que les infrastructures critiques.
Selon Picus Security, les outils de test de pénétration automatisés ont été freinés par des obstacles techniques lors des premières heures suivant l'annonce. Ces solutions reposent traditionnellement sur l'exécution d'exploits pour prouver la vulnérabilité d'un système. Cependant, en l'absence d'exploits éprouvés et face au risque de provoquer des interruptions de service sur des systèmes de production, de nombreux outils se sont limités à inventorier les versions logicielles potentiellement exposées.
Cette approche par inventaire, bien qu'utile pour la gestion des surfaces d'attaque, échoue à répondre à la question essentielle pour les équipes de cybersécurité : les défenses en place sont-elles capables de stopper une tentative d'exploitation réelle ? Les approches de type « Breach and Attack Simulation » (BAS) permettent de contourner ce problème en simulant le trafic malveillant sans nécessité d'exécuter un code d'exploitation destructeur.
Cet épisode démontre que la simple détection de versions vulnérables est insuffisante dans un environnement de menaces évolutif. La simulation d'attaques offre une visibilité directe sur l'efficacité réelle des contrôles de sécurité, permettant une réaction plus rapide et ciblée face aux nouvelles vulnérabilités.