Les modèles d'IA ont aidé à trouver deux failles PHP critiques. Voici ce que les propriétaires de sites devraient faire

Deux failles de sécurité critiques dans PHP, le langage de programmation qui gère une grande partie des sites Web, ont été révélées le 21 octobre, et les modèles d’IA ont joué un rôle réel dans leur découverte. OpenAI affirme que son modèle GPT-5.6 Sol a aidé l’équipe de sécurité de Calif à repérer l’un des bogues dans le cadre du correctif de l’initiative Planet. Par ailleurs, la société de sécurité Wiz a découvert elle-même les deux failles, en utilisant sa plate-forme Wiz Atlas ainsi que les Gemini 4 Argon et GPT-5.6 Sol de Google. Les responsables de PHP ont publié des correctifs le même jour.

Wiz appelle les bogues “PHP2Shell”. Ils font partie du moteur principal de PHP et impliquent la façon dont il gère les erreurs fatales, notamment le manque de mémoire. En termes simples : lorsqu’une requête plante gravement, elle peut laisser derrière elle un peu d’état interne corrompu, et la requête suivante traitée par le même travailleur peut trébucher dessus. Les bogues sont suivis sous les noms CVE-2026-109618 et CVE-2026-109619, avec une gravité allant jusqu’à 9,2 sur 10. Le pire résultat est l’exécution de code à distance, ce qui signifie qu’un étranger pourrait exécuter des commandes sur votre serveur sans se connecter, ou lire la mémoire pouvant contenir des mots de passe et API keys. Wiz indique que presque toutes les versions de PHP de la dernière décennie, depuis la version 5.4, contiennent au moins un des bogues. Il a démontré l’attaque contre les images de conteneurs actuelles WordPress, Drupal et Joomla, bien qu’il ne signale pas les attaques dans la nature.

Le correctif a été coordonné pendant deux mois avec les développeurs PHP, Wiz, Cloudflare et les agences américaines, dont CISA. OpenAI a également publié un petit outil, php2shell-checker, qui permet aux opérateurs de vérifier leur version PHP. Cloudflare, Fastly et Vercel offraient des protections temporaires aux personnes qui ne pouvaient pas appliquer les correctifs immédiatement.

Qu’est-ce qui se cache derrière : la recherche de bugs comme ceux-ci prenait beaucoup de temps aux chercheurs spécialisés. Frontier models accélère désormais la recherche, ainsi que le travail consistant à transformer un bug en une attaque fonctionnelle et à vérifier qu’un correctif tient. Cela va dans les deux sens. OpenAI lui-même prévient que les mêmes compétences aident les attaquants, et Wiz affirme que des exploits qui semblaient autrefois trop coûteux à développer sont désormais à leur portée. Bon à savoir : les affirmations sur la contribution de l’IA proviennent des entreprises impliquées, et aucun des deux articles ne donne beaucoup de détails sur la méthode.

Ce que cela signifie pour vous : si vous gérez un site Web, un blog ou une boutique en ligne sur PHP (WordPress compte), la seule chose qui compte est la mise à jour. Demandez à votre fournisseur d’hébergement si la version de sécurité PHP du 21 octobre a été appliquée, ou exécutez le vérificateur si vous gérez votre propre serveur. Le correctif est le seul correctif complet. Si vous visitez uniquement des sites Web, vous n’avez rien à faire, et c’est très bien. Pour le reste d’entre nous, la leçon est que les correctifs de sécurité sont sur le point d’arriver plus rapidement et en lots plus importants, donc activer les mises à jour automatiques est une habitude judicieuse.

Sources

• OpenAI : Divulgation coordonnée des vulnérabilités critiques
• Wiz Research : PHP2Shell
• The Decoder : GPT-5.6 Sol et Gemini 4 Argon ont trouvé la vulnérabilité PHP critique