L'IA découvre des failles critiques dans PHP, déclenchant un débat sur la divulgation

Le 21 octobre 2026, le projet PHP a publié des correctifs d'urgence pour deux failles de sécurité critiques, poussant de nombreux opérateurs de sites web à mettre leurs services hors ligne. L'incident, surnommé PHP2Shell, impliquait les vulnérabilités CVE-2026-109618 et CVE-2026-109619, permettant l'exécution de code à distance. Si les corrections techniques étaient urgentes, cet événement a ravivé une vive controverse autour de la divulgation coordonnée des vulnérabilités à une époque où l'IA accélère le développement d'exploits.

Ce qui s'est passé

Les vulnérabilités affectent les versions de PHP qui propulsent environ 70 % des sites web. La Fondation PHP a publié des versions corrigées pour les branches 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Les utilisateurs sur des branches plus anciennes et non supportées doivent effectuer une mise à niveau ou compter sur les backports de leur distributeur. WordPress a conseillé aux propriétaires de sites de mettre à jour leurs installations PHP, précisant que les failles résidaient dans le langage lui-même plutôt que dans l'application WordPress.

Le processus de découverte a mis en évidence le rôle croissant de l'intelligence artificielle dans la recherche en sécurité. La société de sécurité Calif, participant à l'initiative « Patch the Planet » d'OpenAI, a utilisé GPT-5.6 Sol pour identifier une voie menant à l'exécution de code à distance, signalant le problème le 11 août. OpenAI a indépendamment signalé le même problème ce jour-là, suivi par Wiz le 24 août. Bien que les mainteneurs de PHP aient repéré des signes d'un problème sous-jacent de mémoire insuffisante (out-of-memory) lors d'un audit en 2024, ils ne disposaient pas d'une route d'exploitation concrète jusqu'à ce que ces rapports assistés par l'IA clarifient la gravité de la situation.

Une dispute a éclaté lorsque Chainguard, une entreprise spécialisée dans la sécurité de la chaîne d'approvisionnement logicielle, a publié des images conteneurisées corrigées plus de six heures avant l'heure prévue pour la divulgation coordonnée. Dan Lorenc, PDG de Chainguard, a déclaré avoir rompu l'embargo en raison de signalements d'exploitation active dans la nature et de fuites de détails. La Fondation PHP a critiqué cette initiative unilatérale, arguant qu'elle donnait aux attaquants le temps d'étudier le correctif pendant que d'autres utilisateurs restaient vulnérables. Lorenc s'est excusé pour le stress causé, mais a maintenu que la protection des utilisateurs était la priorité absolue.

Fonctionnement technique

Le problème technique central implique une condition de mémoire insuffisante qui peut être manipulée pour réaliser une exécution de code à distance. Ce type de vulnérabilité permet à un attaquant d'exécuter des commandes arbitraires sur un serveur hébergeant une application PHP. Le défaut est particulièrement dangereux en raison de l'omniprésence de PHP ; comme l'a noté Moshe Siman Tov Bustan d'OX Security, toute instance PHP accessible publiquement est potentiellement exposée.

La controverse porte sur les mécanismes de la divulgation coordonnée. En général, les fournisseurs conviennent d'une période d'embargo pour préparer les correctifs simultanément. Cependant, les modèles d'IA sont désormais capables de trouver et de vérifier rapidement des exploits. L'environnement de test de Chainguard, utilisant un modèle d'IA de pointe, a redécouvert indépendamment le problème. Lorsque Lorenc a reçu des rapports faisant état d'exploits potentiels en direct et a vu des vidéos de preuve de concept fuiter en ligne, il a estimé que le risque d'attendre dépassait le bénéfice de la coordination. Il a publié les correctifs publiquement pour garantir un accès immédiat, contournant le protocole standard d'embargo.

Détails clés

• Les vulnérabilités sont identifiées sous les références CVE-2026-109618 et CVE-2026-109619.
• Les versions PHP corrigées sont 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
• Chainguard a publié des images corrigées en avance, citant des preuves d'exploitation active.
• La Fondation PHP a qualifié le retard dans la correction du problème identifié en 2024 d'« échec structurel ».
• Amazon Threat Intelligence a détecté des tentatives d'exploitation contre des honeypots à partir du 17 octobre.
• Des modèles d'IA tels que GPT-5.6 Sol ont joué un rôle clé dans la découverte et la vérification des failles.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables IT, cet incident souligne que les fenêtres de maintenance traditionnelles peuvent ne plus suffire pour les infrastructures critiques. La rapidité avec laquelle l'IA peut découvrir et armer les vulnérabilités signifie que la fenêtre entre la découverte et l'exploitation se réduit. Les organisations doivent être prêtes à déployer des correctifs immédiatement, même en dehors des calendriers habituels, pour atténuer les risques liés à des dépendances largement utilisées comme PHP.

Le différend met également en lumière la fragilité des modèles actuels de sécurité open source. La Fondation PHP a admis que les contraintes de ressources et les compromis complexes avaient retardé la correction d'un problème connu. À mesure que l'IA abaisse la barrière pour trouver des bugs, la charge pesant sur les mainteneurs augmente. Sans financement supplémentaire et sans soutien de la part des entreprises et des gouvernements qui dépendent de ce logiciel, des échecs structurels similaires risquent de se reproduire, laissant l'écosystème du web vulnérable face aux menaces à l'échelle d'Internet.

Que pouvez-vous faire

• Mettez à jour votre installation PHP vers la version 8.2.35, 8.3.36, 8.4.27 ou 8.5.12 immédiatement.
• Si vous utilisez une branche PHP non supportée, planifiez une mise à niveau ou appliquez les backports de votre distributeur.
• Examinez les journaux du serveur pour détecter toute activité suspecte remontant au 17 octobre 2026.
• Partez du principe que le système est compromis si vous trouvez des preuves d'exploitation sur des systèmes non corrigés.
• Faites appel à des fournisseurs de confiance comme Red Hat ou Canonical pour obtenir des correctifs validés.
• Plaidez pour un soutien organisationnel en faveur des projets open source critiques dont vous dépendez.