L'IA découvre des failles critiques en PHP affectant 70 % du web

Le 21 octobre 2026, l'équipe de développement de PHP a publié des correctifs d'urgence pour des vulnérabilités critiques dans le moteur central du langage. Wiz Research a découvert ces failles grâce à une intelligence artificielle avancée, révélant que presque toutes les versions de PHP publiées au cours des dix dernières années sont susceptibles de subir une exécution de code à distance ou un vol de données sensibles. Ces découvertes impactent environ 70 % de tous les sites web dans le monde, y compris des plateformes majeures comme WordPress, Drupal et Wikipedia.

Ce qui s'est passé

Wiz Research a identifié plusieurs problèmes graves de sécurité mémoire au sein même du cœur de PHP, indépendamment de toute application spécifique fonctionnant dessus. Ces vulnérabilités, suivies sous les références CVE-2026-109618 et CVE-2026-109619, permettent à des attaquants non authentifiés d'exécuter du code arbitraire sur les serveurs affectés ou de lire la mémoire des processus contenant des mots de passe, des clés API et des jetons d'authentification. Les bugs proviennent de la manière dont PHP gère les erreurs fatales, notamment les conditions de manque de mémoire (out-of-memory), lors du traitement des requêtes. Lorsqu'une requête échoue de manière inattendue, l'état interne peut être corrompu, laissant des pointeurs pendants que les requêtes suivantes peuvent réutiliser par inadvertance.

Cette découverte marque un tournant significatif dans la recherche de vulnérabilités. Bien que le code défaillant ait existé pendant plus d'une décennie, démontrer son exploitabilité nécessitait d'enchaîner des primitives complexes de corruption mémoire à travers différentes versions et configurations de PHP. Auparavant, ce niveau d'analyse aurait exigé des mois d'efforts de la part d'une grande équipe de chercheurs en sécurité élitistes. Dans ce cas, des modèles d'IA de pointe ont permis à un seul chercheur de développer des exploits fonctionnels en seulement une semaine. La divulgation coordonnée a impliqué une collaboration avec l'équipe PHP, OpenAI, Calif et les principaux fournisseurs de cloud afin de garantir que les mesures d'atténuation soient prêtes avant la publication publique.

Comment cela fonctionne

Les vulnérabilités résultent de conditions de concurrence (race conditions) et d'erreurs de gestion d'état lors du traitement des erreurs. Un bug concerne le gestionnaire de progression de téléchargement de session. Si une erreur de manque de mémoire se produit lors du décodage des données de session, l'état global du désérialiseur reste publié même après la destruction du tas de la requête. Une requête ultérieure traitée par le même processus worker peut récupérer cette mémoire libérée, trompant PHP qui traite alors les données contrôlées par l'attaquant comme une comptabilité interne valide. Cette primitive use-after-free permet la corruption mémoire et, combinée à une fuite d'informations, conduit à l'exécution de code à distance.

Un autre vecteur implique le mécanisme de backtrace des erreurs fatales. PHP conserve le backtrace de la dernière erreur fatale dans une variable globale. Si une erreur fatale de manque de mémoire détruit le tas de la requête sans effacer ce pointeur global, le worker survit avec une référence pendante. Lorsque la requête suivante déclenche une sortie diagnostique, PHP accède à ce pointeur obsolète, qui pointe désormais vers une mémoire récupérée par l'attaquant. Ce use-after-free inter-requêtes permet une corruption mémoire contrôlée. De plus, une confusion de type dans la mémoire partagée OPcache permet aux attaquants de corrompre l'état partagé entre différents processus workers, facilitant davantage l'exploitation sur des plateformes comme WordPress.

Détails clés

• Portée : Affecte les versions de PHP remontant à la 5.4, impactant environ 70 % de tous les sites web.
• Gravité : Score CVSS de 9,2, permettant l'exécution de code à distance non authentifiée et la divulgation de mémoire.
• Méthode de découverte : Des modèles d'IA de pointe (Gemini 4 Argon, GPT-5.6 Sol) ont réduit le temps de développement des exploits de plusieurs mois à quelques semaines.
• Impact : Exploitation démontrée sur WordPress, Drupal et Joomla sans nécessiter de failles au niveau de l'application.
• Date du correctif : Les corrections officielles ont été publiées par l'équipe PHP le 21 octobre 2026.
• Collaboration : Coordonnée avec AWS, Cloudflare, Google, Microsoft et d'autres pour une atténuation généralisée.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables d'infrastructure, cet incident souligne que les bases de code héritées recèlent des risques systémiques profonds que les audits traditionnels manquent souvent. Le fait que ces bugs aient existé pendant dix ans sans être détectés suggère que de nombreuses autres bibliothèques fondamentales pourraient contenir des vulnérabilités latentes similaires. La dépendance à PHP pour l'infrastructure web critique signifie que même un code d'application sécurisé ne peut pas protéger contre les failles de l'environnement d'exécution sous-jacent. Les équipes doivent considérer leurs dépendances comme vulnérables jusqu'à preuve du contraire et prioriser des cycles de correction rapides.

Le rôle de l'IA dans cette découverte change définitivement le paysage des menaces. La complexité n'est plus un mécanisme de défense fiable. Si l'IA peut enchaîner des bugs obscurs de mémoire en exploits fonctionnels en quelques jours, les attaquants posséderont bientôt la même capacité. Cela déplace l'avantage de ceux qui cachent la complexité vers ceux qui peuvent automatiser la détection et la remédiation à grande échelle. Les stratégies de sécurité doivent évoluer pour inclure le scan de vulnérabilités assisté par IA et la protection à l'exécution, car la revue de code manuelle seule est insuffisante pour identifier ces failles profondes au niveau du moteur.

Ce que vous pouvez faire

• Mettez à jour votre installation PHP vers la dernière version corrigée publiée le 21 octobre 2026, immédiatement.
• Si la correction immédiate n'est pas possible, déployez des règles de pare-feu d'applications web (WAF) pour bloquer les requêtes multipart inhabituelles et surveillez les erreurs HTTP 500.
• Passez en revue les logs du serveur pour détecter des signes d'exploitation, tels qu'un renouvellement inattendu des workers PHP ou des cookies de session malformés.
• Activez la protection applicative auto-protection à l'exécution (RASP) ou des outils similaires capables de détecter les comportements de corruption mémoire.
• Auditez votre chaîne de dépendances pour identifier tous les services utilisant des versions PHP affectées, y compris les environnements conteneurisés.
• Implémentez des limites de mémoire strictes et une surveillance pour détecter les conditions de manque de mémoire qui pourraient déclencher ces vulnérabilités.