L'IA a découvert une faille dans les fondations d'Internet

Une faille cachée a mis l'infrastructure web partagée en état d'alerte

PHP, le moteur côté serveur qui alimente environ 70 % de tous les sites web, y compris de nombreux sites WordPress, a récemment révélé deux vulnérabilités critiques. Lorsqu'une faille apparaît dans une infrastructure partagée comme PHP, elle met en péril de vastes pans d'Internet simultanément, affectant des millions d'opérateurs plutôt que des instances isolées.

Ces deux vulnérabilités critiques de corruption de mémoire, suivies sous les références CVE-2026-109618 et CVE-2026-109619, permettent une Remote Code Execution (RCE). Les équipes de sécurité leur ont attribué une note sévère de 9,2 sur 10 sur l'échelle CVSS v4.0, indiquant la possibilité pour un attaquant de prendre le contrôle du serveur d'un site web sans authentification. Ce risque s'applique aux serveurs exécutant PHP, sans pour autant affirmer que chaque site PHP a été compromis.

L'initiative « Patch the Planet » d'OpenAI, impliquant des entreprises comme Calif et Wiz, a découvert ces failles qui étaient restées en sommeil pendant plus d'une décennie. Suite à une fuite précoce, l'équipe PHP a accéléré la publication de correctifs d'urgence le 21 octobre, en diffusant les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.

Les gouvernements et les agences ont réagi avec des avis urgents. La division cyber du FBI, la NSA et le National Cyber Security Centre (NCSC) du Royaume-Uni ont recommandé une mise à jour immédiate ou la mise hors ligne des systèmes si les mises à jour n'étaient pas réalisables. La Première ministre japonaise Sanae Takaichi a personnellement appelé à l'action sur X, et les gouvernements des Pays-Bas, de Finlande et de France auraient déconnecté certains services par mesure de précaution.

Les petits sites compromis, comme un vieux forum ou un système de réservation local, présentent un risque particulier. Ces plateformes stockent souvent des données personnelles (noms, adresses, e-mails et même mots de passe) et une violation pourrait exposer ces informations sensibles. Bien qu'aucune violation spécifique liée à cette faille n'ait été confirmée, le potentiel d'exposition demeure.

Le problème de la « longue traîne » aggrave ce risque. Bien que les branches PHP prises en charge aient reçu des correctifs critiques, environ 46,1 % des sites, selon un échantillon, pourraient fonctionner sur des versions PHP en fin de vie qui ne recevront jamais de correctifs. Ces installations non maintenues deviennent des vulnérabilités permanentes, semblables à laisser une porte dérobée déverrouillée indéfiniment.

Les utilisateurs peuvent prendre des mesures pratiques pour protéger leurs données. Utilisez des mots de passe uniques et forts pour chaque compte en ligne, idéalement gérés avec un password manager. Activez l'authentification multifacteur partout où elle est disponible pour ajouter une couche de sécurité supplémentaire.

Restez vigilant face aux e-mails ou messages suspects qui pourraient tenter d'exploiter les inquiétudes concernant les violations de données. Si vous avez des préoccupations concernant un site web spécifique, contactez directement son opérateur pour vous renseigner sur ses mesures de sécurité et ses mises à jour PHP.

L'analyse de code assistée par l'IA a aidé les chercheurs à découvrir les failles subtiles de PHP. L'initiative « Patch the Planet » d'OpenAI, ainsi que les travaux indépendants des sociétés de sécurité Wiz et Calif, ont identifié deux vulnérabilités critiques de Remote Code Execution (RCE). Calif a tiré parti du modèle GPT-5.6 Sol d'OpenAI, tandis que Wiz a utilisé une analyse assistée par l'IA pour faire ressortir les deux bugs, qui étaient restés en sommeil pendant plus d'une décennie.

Cette découverte précoce a offert un avantage défensif crucial. Elle a donné aux mainteneurs de PHP, aux chercheurs en sécurité et à des entreprises comme OpenAI une fenêtre de deux mois pour vérifier les failles, coordonner la divulgation et préparer des correctifs avant que les détails ne soient rendus publics. Cette approche contrôlée est une pratique standard, empêchant les attaquants d'exploiter des vulnérabilités connues avant que les correctifs ne soient prêts.

Cependant, cette avancée met également en lumière un risque à double usage. Si l'IA accélère la découverte défensive, elle permet tout autant aux attaquants de trouver des faiblesses. La fuite précoce des détails de la vulnérabilité, suivie de rapports faisant état d'une exploration rapide par des acteurs malveillants, a considérablement réduit l'avance des défenseurs. Pour en savoir plus sur la réponse coordonnée, consultez Today's PHP Security Release, and How We're Strengthening PHP Security.

Ces vulnérabilités, notées 9,2 sur 10 en termes de gravité, affectent presque toutes les versions majeures de PHP de la dernière décennie, y compris les versions 8.5.12, 8.4.27 et 8.3.36. L'effort de correction rapide souligne l'urgence de traiter les failles découvertes par l'IA à grande échelle.

Priorité immédiate pour les opérateurs : identifier les versions de PHP et appliquer les versions corrigées telles que 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Mais le correctif seul ne suffit pas ; enquêtez sur les accès antérieurs pour vous assurer que les attaquants n'ont pas déjà compromis les systèmes, une alerte émise par la Cyber Division du FBI.

Cet incident souligne un défi structurel : Internet repose sur des logiciels vieillissants comme PHP, utilisés en production à grande échelle depuis près de 30 ans. Les ressources de maintenance limitées et la difficulté réelle de mettre à jour un web tentaculaire et décentralisé signifient que des vulnérabilités peuvent persister pendant plus d'une décennie.

La leçon plus large est claire : l'IA peut renforcer la sécurité, mais les défenseurs ont besoin de correctifs plus rapides, d'un support robuste pour les systèmes hérités et d'une divulgation coordonnée pour suivre le rythme. Comme l'ont observé Cloudflare et watchTowr, le scan de masse automatisé et l'exploration active des exploits ont commencé quelques heures après la fuite des failles, soulignant le besoin urgent d'une défense plus agile.

Quelles sont les vulnérabilités PHP découvertes grâce à l'IA ?

Des chercheurs utilisant une analyse assistée par l'IA ont découvert deux failles critiques dans PHP qui pourraient permettre l'exécution de code à distance sur des serveurs vulnérables.

Ces failles PHP affectent-elles les utilisateurs ordinaires d'Internet ?

Les utilisateurs ne corrigent pas PHP eux-mêmes, mais les sites web vulnérables peuvent exposer des informations personnelles stockées. La réutilisation des mots de passe peut augmenter le risque pour d'autres comptes.

Que doit faire un propriétaire de site web ?

Vérifiez si le site utilise une version de PHP affectée, installez la mise à jour de sécurité pertinente et examinez les journaux du serveur pour détecter tout signe de compromission.

Pourquoi la découverte de vulnérabilités assistée par l'IA est-elle importante ?

L'IA peut aider les chercheurs à inspecter des codes complexes et à trouver des failles subtiles plus rapidement, offrant aux défenseurs de nouveaux outils tout en augmentant les enjeux si les attaquants utilisent des capacités similaires.