Les administrateurs du langage de programmation PHP ont publié des correctifs d'urgence pour deux failles critiques permettant à un attaquant d'exécuter du code sans authentification sur presque n'importe quel serveur utilisant ce logiciel. OpenAI a expliqué que la détection anticipée a donné aux administrateurs le temps de préparer des protections.
« À notre connaissance, l'IA de pointe a découvert ces vulnérabilités avant les attaquants », a déclaré OpenAI, qui a également qualifié cette marge de manœuvre de « Fenêtre du Défenseur ».
Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et couvrent les vulnérabilités catalogées sous les identifiants CVE-2026-109618 et CVE-2026-109619, toutes deux avec un score de 9,2 sur 10 sur l'échelle CVSS v4.
PHP fonctionne comme moteur pour une majorité de sites web dans le monde, notamment WordPress et Drupal. Des chercheurs de Calif, une entreprise de cybersécurité, ont détecté la première des failles en août dernier avec l'aide du modèle GPT-5.6 Sol d'OpenAI lors d'une audit du code source de PHP financée par l'initiative Patch the Planet de cette société. Quelques semaines plus tard, l'équipe Wiz, propriété de Google, est parvenu à la même faille de manière indépendante.
La découverte a ouvert une fenêtre pour se défendre avant les attaquants
OpenAI a qualifié l'épisode d'un des événements de sécurité les plus importants des derniers temps. « Compte tenu de la gravité de ces failles et de l'utilisation étendue de PHP, nous considérons que c'est l'un des problèmes de sécurité les plus importants dont nous ayons eu connaissance », a-t-il affirmé.
L'entreprise a également averti du risque que représente sa propre technologie : « Cela démontre comment l'intelligence artificielle peut découvrir des failles de sécurité ayant un impact à l'échelle d'Internet, mais les mêmes capacités peuvent également aider les attaquants à développer rapidement des outils et des exploits offensifs ».
Les failles, connues des chercheurs sous le nom de PHP2Shell, restaient cachées depuis plus d'une décennie sans que personne ne les exploite. Selon les détails fournis par Wiz sur son propre blog, la raison en était la complexité technique requise pour construire l'attaque.
PHP2Shell et pourquoi cela inquiète les experts
PHP2Shell est un ensemble de failles de sécurité en mémoire affectant le langage PHP, utilisé par 70 % des sites web dans le monde selon les estimations de Wiz. Il permet à un attaquant d'exécuter du code à distance et d'accéder à des informations sensibles, telles que des mots de passe, sans avoir besoin de s'authentifier, ce qui a conduit les gouvernements d'Europe, d'Asie et des États-Unis à exiger la mise à jour immédiate des systèmes affectés.
«Les failles sous-jacentes étaient présentes depuis des décennies, mais démontrer qu’elles étaient exploitables exigeait une chaîne d’étapes extrêmement complexe, à la limite de ce que les chercheurs humains pouvaient accomplir en pratique», ont écrit les chercheurs de Wiz. «Les modèles d’IA de pointe ont considérablement réduit cette barrière et transformé une faille ancienne en un exploit», ont-ils ajouté.
Pour construire l’attaque, il fallait adapter l’exploit à différentes versions de PHP, configurations et comportements de chaque application, un travail qui auparavant était réservé aux équipes spécialisées. «Avec des modèles d’IA de pointe et les outils appropriés, un seul chercheur a accompli en une semaine ce qui aurait pris des mois à une équipe de classe mondiale», a indiqué Wiz dans le même texte.
La comparaison avec Heartbleed, la faille de 2014
Les spécialistes de Wiz ont situé l’ampleur de la découverte au niveau de Heartbleed, la faille qui en 2014 a affecté une technologie de chiffrement utilisée par les deux tiers du web et qui a permis aux criminels d’accéder à des données censées être protégées. Selon l’équipe, PHP2Shell pourrait représenter un point de bascule similaire dans la cybersécurité du secteur.
Bruce Dang, chercheur chez Calif, a partagé cette analyse. «C’est sans aucun doute l’une des erreurs les plus critiques de l’année», a-t-il affirmé, ajoutant que «l’impact se fera sentir pendant un certain temps».
Cynthia Kaiser, ancienne fonctionnaire du FBI ayant supervisé des cas de cybersécurité et travaillant désormais chez Halcyon, entreprise technologique, a résumé le nouveau scénario imposé par l’intelligence artificielle pour ceux qui doivent protéger leurs systèmes. «Avec l’IA, appliquer des correctifs est devenu une urgence», a-t-elle soutenu.
Les gouvernements d’Europe et d’Asie ont demandé de déconnecter les sites sans correctif disponible
L’Agence nationale de sécurité des États-Unis a recommandé aux organisations ne pouvant pas installer le correctif immédiatement de déconnecter leurs systèmes d’Internet. Des agences de cybersécurité du Royaume-Uni, du Canada, de l’Australie et la cellule d’intervention cybernétique de l’Union européenne ont émis des avertissements similaires.
Certaines administrations, comme le gouvernement finlandais et la Chambre des représentants des Pays-Bas, ont déconnecté leurs sites Internet ce mercredi à titre préventif.
La première ministre du Japon, Sanae Takaichi, a rejoint l’appel à agir avec urgence via les réseaux sociaux. «Nous avons une demande urgente pour que tous agissent cette nuit même», a-t-elle écrit, ajoutant : «S’il est difficile d’appliquer le correctif immédiatement, suspendre temporairement les sites web et prendre des mesures similaires peut être considéré comme un moyen efficace de réduire le risque».
Un chercheur a estimé que plus de 1,3 million de sites web ont été exposés en raison de ces failles, selon des données diffusées par Cybersecurity Dive. Cloudflare, qui a collaboré avec les administrateurs de PHP, Calif, OpenAI et Wiz pour traiter le problème, a confirmé qu'il détectait déjà les premières tentatives d'attaque tout en renforçant ses propres défenses.
Calif et d'autres découvertes antérieures concernant des modèles d'IA non publiés
Calif fait partie d'un groupe restreint d'entreprises et d'organismes ayant un accès anticipé à des modèles d'intelligence artificielle encore non publiés. Avant cet incident, l'entreprise avait développé un ver capable de compromettre rapidement presque n'importe quel compte WeChat simplement en appelant l'utilisateur, et a également utilisé une version préliminaire d'un modèle pour contourner les protocoles de sécurité du système d'exploitation macOS d'Apple.
OpenAI a reconnu que ce type de découverte ne serait pas un cas isolé. L'entreprise a indiqué que la faille de PHP s'ajoute à « plusieurs vulnérabilités significatives que nous avons déjà trouvées et sur lesquelles nous travaillons pour les corriger », et a anticipé que ce type de découvertes « augmenterait de manière marquée dans les prochains mois ».
Malgré l'ampleur de la découverte, les données du moteur de recherche Shodan montrent que l'adoption de PHP est en baisse, car une grande partie des sites web les plus récents sont construits avec des technologies non vulnérables à ce type d'attaque.