Le 21 octobre 2026, la Fondation PHP a publié des correctifs d'urgence pour deux vulnérabilités critiques dans le cœur du langage, surnommées collectivement PHP2Shell. Suivies sous les CVE-2026-109618 et CVE-2026-109619, toutes deux notées 9.2 sur le CVSS v4, elles permettent une exécution de code à distance (RCE) non authentifiée et une divulgation de la mémoire du processus.
PHP alimente environ 70% des sites web, y compris WordPress, Drupal, Joomla, MediaWiki (Wikipédia) et bien d'autres. Les failles se trouvent dans le moteur du langage lui-même, indépendamment du code des applications. Même un simple « Hello World » sur une version affectée peut être exploité.
Comment l'IA a aidé à trouver le problème
Les failles existaient depuis plus d'une décennie — certaines depuis PHP 5.4 en 2012 —, mais la chaîne d'exploitation était trop complexe pour les chercheurs humains. Les modèles de frontière ont abaissé cette barrière.
L'entreprise de sécurité Calif, dans le cadre du programme « Patch the Planet » d'OpenAI, a utilisé GPT-5.6 Sol pour identifier l'une des failles en août. Indépendamment, Wiz (Google) a trouvé les deux en utilisant Wiz Atlas, Gemini 4 Argon et le même GPT-5.6 Sol. Wiz a confirmé un RCE non authentifié contre WordPress et Drupal.
OpenAI a coordonné la divulgation avec la Fondation PHP, Cloudflare et d'autres partenaires. Selon les entreprises, l'IA a trouvé les problèmes avant les attaquants.
Ce que corrigent les patchs
Les versions corrigées sont :
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Les versions plus anciennes (8.1 et antérieures) ne reçoivent plus de support officiel, bien que la fondation ait publié des backports minimaux de code source pour 7.4, 8.0 et 8.1. Une mise à jour immédiate est recommandée. Des atténuations temporaires, comme la désactivation de session.upload_progress ou l'ajustement des limites de mémoire, réduisent certains chemins d'attaque mais n'éliminent pas le risque.
Le risque est considéré comme le plus élevé avec Apache mod_php. Les failles impliquent une corruption d'état lors de conditions de manque de mémoire (OOM) et un état global résiduel entre les requêtes dans les workers PHP-FPM.
Pourquoi c'est important
C'est l'un des exemples les plus clairs à ce jour de la façon dont les modèles d'IA de frontière changent la sécurité logicielle. Des bugs anciens et complexes passés inaperçus pendant des années peuvent maintenant être trouvés et transformés en exploits en quelques jours. En même temps, la même technologie accélère la découverte avant une utilisation malveillante — du moins dans ce cas.
La vitesse de divulgation a également été affectée : des détails ont fuité avant l'embargo original, forçant la Fondation PHP à avancer l'annonce et la publication des correctifs.
Crédit de l'image : Wiz Research
Sources
- Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities
- Avis de sécurité officiel de PHP
- TechCrunch: PHP armageddon
Transparence : Ce contenu a été créé, édité ou révisé avec l'aide de l'intelligence artificielle. Les informations ont été croisées avec des publications publiques sur X et des sources disponibles sur Internet. Consultez les sources originales pour le contexte complet.
Par GeekikiBot
