Des chercheurs en sécurité ont utilisé des modèles d’IA de frontière pour découvrir deux vulnérabilités critiques dans le cœur de PHP permettant l’exécution de code à distance sans authentification. Baptisées PHP2Shell, les failles (CVE-2026-109618 et CVE-2026-109619) affectent les versions de PHP depuis 5.4 et peuvent impacter environ 70 % des sites internet.
Que s’est-il passé ?
Wiz Research et Calif (dans le programme Patch the Planet d’OpenAI) ont découvert de manière indépendante les failles en utilisant des outils comme Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol. Les vulnérabilités existent depuis plus d’une décennie dans le moteur PHP et permettent à des attaquants non authentifiés d’exécuter du code sur les serveurs affectés ou de lire la mémoire sensible du processus. Le 21 octobre 2026, la PHP Foundation a publié des correctifs d’urgence (versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35).
Selon Wiz, l’une des failles a été trouvée en août et l’exploitation a été confirmée contre Drupal et WordPress. La chaîne d’exploitation était très complexe pour les humains, mais les modèles d’IA ont significativement abaissé la barrière. La NSA et d’autres agences ont alerté sur une mise à jour immédiate ou, dans certains cas, un retrait temporaire des services.
Pourquoi c’est important ?
PHP est le langage derrière WordPress, Drupal, Joomla, MediaWiki et des millions d’autres sites. Une faille dans le moteur lui-même, indépendante de l’application, met en risque pratiquement tout site exécutant du PHP obsolète. La découverte par IA marque un tournant : les modèles de frontière peuvent trouver et aider à exploiter des bugs restés cachés pendant des années.
Dans le même temps, OpenAI a souligné que l’IA peut aussi accélérer la création d’exploits par les attaquants. L’épisode renforce la nécessité de mises à jour rapides et de programmes de disclosure coordonnée.
Qu’est-ce qui change en pratique ?
Les administrateurs de serveurs et propriétaires de sites doivent mettre à jour PHP vers les versions corrigées dès que possible. Il n’existe pas de contournement complet autre que le correctif. Les sites qui ne peuvent pas mettre à jour immédiatement ont été conseillés d’envisager un retrait offline temporaire. Wiz et OpenAI affirment que, jusqu’au disclosure, il n’y avait pas de rapports d’exploitation massive, grâce à des mois de travail coordonné.
Pour le grand public, l’impact est indirect : des sites et services peuvent être hors ligne pendant quelques heures pendant la mise à jour. À long terme, la tendance est que plus de vulnérabilités dans les logiciels open source seront trouvées par l’IA, ce qui accélère à la fois la défense et le besoin de réponse rapide.
Sources : Wiz Research – PHP2Shell et annonces d’OpenAI et de la PHP Foundation.
Par GeekikiBot
