PHP publie des correctifs d'urgence pour des failles critiques découvertes avec des modèles d'IA

PHP a publié des mises à jour d'urgence le 21 octobre 2026 qui corrigent deux failles critiques permettant à des attaquants non authentifiés d'exécuter du code sur des serveurs web [2][3]. Les sociétés de sécurité Calif et Wiz ont découvert les bugs avec l'aide de modèles d'IA, et OpenAI, qui les a également signalés, a coordonné la divulgation via son programme Patch the Planet [1][2][4].

Qui doit appliquer le correctif et quelles versions ?

PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent les CVE-2026-109618 et CVE-2026-109619, tous deux notés 9,2 sur 10. Le projet PHP indique que toutes les installations servant des requêtes web sont à risque, y compris PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed, le risque le plus élevé étant sur mod_php [2][3].

Les distributions Linux et les fournisseurs de support à long terme ont reçu les correctifs à l'avance, donc la plupart des opérateurs devraient appliquer la mise à jour via leur fournisseur [3]. PHP 8.1 et les versions antérieures ne reçoivent plus de mises à jour officielles ; l'équipe de sécurité de PHP a publié des rétroports sources minimaux pour PHP 7.4, 8.0 et 8.1 [3].

Wiz indique que chaque version de PHP publiée au cours de la dernière décennie est affectée par au moins l'une des failles, remontant à PHP 5.4 [4]. PHP liste des mesures provisoires, comme la suppression de la limite mémoire, mais précise qu'une mise à jour est la seule solution complète [3].

Comment des modèles d'IA ont-ils trouvé des bugs vieux de plus de dix ans ?

Les deux failles résident dans la gestion de la mémoire et la gestion des erreurs de PHP : une erreur de mémoire insuffisante au mauvais moment peut laisser un état interne obsolète qu'une requête ultérieure réutilise [2][4]. La PHP Foundation indique qu'un développeur principal a vu les premiers signes du problème en 2024, mais que le travail sur un correctif a été bloqué pendant des mois, ce qu'elle qualifie d'échec structurel [2].

La société de sécurité Calif a commencé l'audit de PHP le 30 juillet dans le cadre de Patch the Planet et a signalé une exécution de code à distance le 11 août ; OpenAI a indépendamment signalé la même cause racine ce jour-là, et Wiz a suivi le 24 août [2]. Calif a découvert l'une des failles avec le GPT-5.6 Sol d'OpenAI, et Wiz a signalé indépendamment les deux vulnérabilités. Wiz indique avoir utilisé son agent Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol [4].

Wiz indique que son exploit combiné a exécuté du code sans authentification sur les dernières images de conteneurs WordPress, Drupal et Joomla, et a pu lire des mots de passe, des jetons et des clés API depuis la mémoire du serveur [4].

Pourquoi la publication est-elle intervenue un jour plus tôt ?

Les deux identifiants CVE ont commencé à circuler en ligne vers 15:00 UTC le 20 octobre, avec un score de gravité erroné de 10,0, selon la PHP Foundation [2]. PHP a avancé la publication du 22 octobre au 21 octobre à 14:00 UTC, soit 16:00 à Berlin [2][7].

La Fondation indique que Calif a publié par erreur une vidéo de sa preuve de concept, et que Chainguard a rompu l'embargo en publiant des images corrigées à 07:41 UTC, plus de six heures plus tôt [2]. L'équipe de sécurité de PHP indique n'avoir trouvé aucun exploit fonctionnel au moment de la publication [2].

Le NCSC néerlandais a mis son propre site hors ligne par précaution avant la publication des correctifs. Il a conseillé aux organisations d'envisager de déconnecter les systèmes PHP exposés à Internet jusqu'à ce qu'ils soient corrigés [5]. TechCrunch a rapporté que la National Security Agency américaine avait donné des conseils similaires, et BleepingComputer a rapporté la même chose de la part du NCSC britannique [6][8].

Qu'est-ce que Patch the Planet d'OpenAI ?

OpenAI qualifie les failles PHP de l'un des problèmes de sécurité les plus impactants de ces derniers temps et a publié un vérificateur de version PHP en tant que compétence Codex [1]. Elle s'est engagée à fournir 1 milliard de dollars d'accès subventionné à Daybreak, son outil de sécurité, pour les organisations disposant de ressources de sécurité limitées [1].

OpenAI indique avoir impliqué des agences américaines dont la CISA et l'Office of the National Cyber Director, et s'attend à ce que des découvertes similaires augmentent fortement dans les mois à venir [1].

Notre lecture

Avis : la recherche assistée par IA a trouvé ces bugs avant les attaquants, mais la fuite et les images précoces montrent que la divulgation, et non la découverte, est désormais le maillon faible. Les petites équipes de mainteneurs ont besoin de financement et de processus avant la prochaine vague de failles découvertes par IA.

Ce que nous n'avons pas pu vérifier

• Si un serveur a été compromis via ces failles avant ou après la publication.
• Le rapport de BleepingComputer selon lequel Cloudflare a observé des attaques précoces avant le correctif ; nous n'avons trouvé aucune déclaration primaire.
• L'avertissement de la NSA rapporté par TechCrunch ; nous n'avons pas vu le texte propre de la NSA.
• Les affirmations techniques dans des écrits de preuve de concept tiers non officiels circulant après la fuite.