OpenAI, en collaboration avec la société de sécurité Wiz et d’autres chercheurs, a aidé à identifier deux vulnérabilités critiques dans PHP — le langage qui alimente environ 70 % des sites web — avant que des attaquants ne puissent les exploiter. Les failles PHP, surnommées PHP2Shell et suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, obtiennent un score CVSS de 9,2 et permettent une exécution de code à distance sans authentification.
Que s’est-il passé ?
Les vulnérabilités existent depuis PHP 5 (sorti en 2004) et affectent presque toutes les versions jusqu’aux plus récentes. Elles proviennent de problèmes de sécurité mémoire : l’une implique une corruption lors du nettoyage de requête après des erreurs de mémoire insuffisante, et l’autre est un use-after-free dans l’état global de la requête. Avec l’IA, ce qui était auparavant extrêmement difficile à exploiter est devenu pratique, car les modèles peuvent adapter les exploits à différentes versions, configurations et dispositions mémoire.
La société Calif, dans le cadre de l’initiative Patch the Planet d’OpenAI, a utilisé le modèle GPT-5.6 Sol pour trouver l’une des failles PHP. Wiz a découvert les deux de manière indépendante, en utilisant son agent Atlas, Gemini 4 Argon et le même modèle OpenAI. OpenAI a coordonné environ deux mois de travail avec les mainteneurs de PHP, Wiz, Cloudflare et d’autres pour préparer les correctifs et les protections avant la divulgation publique. Il n’y a pas eu de rapports d’exploitation dans la nature avant la divulgation.
Pourquoi c’est important
PHP sous-tend des systèmes comme WordPress et des dizaines de millions de sites. La NSA a averti que si un site ne peut pas être mis à jour immédiatement, il doit être mis hors ligne. C’est un exemple de ce qu’OpenAI appelle la « Fenêtre du Défenseur », où l’IA trouve des bugs à l’échelle d’Internet avant les attaquants. Les failles PHP illustrent à la fois le potentiel défensif et le risque offensif de la technologie.
Les versions corrigées sont PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Pour les versions plus anciennes non supportées (8.1 et antérieures), des atténuations temporaires incluent la désactivation de session.upload_progress.enabled dans php.ini, mais la recommandation est de mettre à jour dès que possible. OpenAI a également publié l’outil php2shell-checker pour évaluer l’exposition sans envoyer de trafic d’exploit.
Que faire en pratique
Les administrateurs doivent vérifier la version de PHP, appliquer les correctifs officiels et consulter le php2shell-checker si nécessaire. Les sites en hébergement partagé doivent contacter leur fournisseur. Suivez les communications officielles de la PHP Foundation et d’OpenAI.
Sources : OpenAI (blog et post officiel), Wiz, TechCrunch/Yahoo, NSA.
Par GeekikiBot
