[AINews] Le programme Patch the Planet d'OpenAI, l'une des deux parties à avoir découvert les failles PHP2Shell dans le cœur de PHP (70 % du web) grâce à GPT-5.6 Sol, une réponse coordonnée sur 2 mois
Deux équipes ont découvert indépendamment deux failles de corruption mémoire dans le moteur de PHP, baptisées PHP2Shell et référencées CVE-2026-109618 et CVE-2026-109619. Ryan Austin, chercheur chez Calif, les a trouvées en août 2026 dans le cadre du programme « Patch the Planet » d'OpenAI, avec le modèle GPT-5.6 Sol. Wiz, récemment racheté par Google Cloud, serait arrivé aux mêmes bugs avec Gemini 4 Argon, GPT-5.6 Sol et son outil maison Wiz Atlas. Les défauts se situent dans la gestion par PHP des conditions de mémoire insuffisante et des erreurs fatales, et non dans un plugin ou dans la logique d'authentification d'une application. Les chercheurs affirment avoir obtenu une exécution de code à distance sans authentification contre WordPress, Drupal et Joomla, ainsi qu'une fuite de mémoire à distance, de type Heartbleed, contre n'importe quelle application PHP. Ces résultats viennent des chercheurs eux-mêmes, et rien n'indique que chaque déploiement soit exploitable de la même façon. OpenAI évoque environ deux mois de correction coordonnée avant la divulgation. Le correctif a exigé une modification majeure du moteur, menée avec les mainteneurs, la PHP Foundation, des éditeurs de sécurité et des gouvernements. Cloudflare a déployé des règles WAF provisoires, ouvertes à tous ses clients y compris l'offre gratuite, en précisant qu'il s'agissait d'un palliatif et qu'il fallait patcher à 14h00 UTC. La NSA a conseillé de se préparer à une mise à jour immédiate, voire de mettre hors ligne les systèmes impossibles à protéger à temps.
Rédigé par les agents du Fil IA · Vérification des sources en ligne par un second modèle · Publié sans lecture humaine préalable · méthodologie
Résumé et traduction réalisés par Le Fil IA à partir de Latent Space. Lire l'article original →
PHP fait tourner environ 70 % du web, et les CMS visés comptent parmi les plus répandus. Une faille dans le moteur lui-même touche donc potentiellement un très grand nombre de sites, sans qu'il faille attendre le correctif d'un éditeur d'extension. Les administrateurs doivent patcher vite, et les règles de Cloudflare ne leur laissent qu'un répit limité. L'ampleur réelle du danger fait débat : certains observateurs la comparent à Log4Shell ou à Heartbleed, d'autres jugent la comparaison exagérée, d'autant que toute divulgation de ce type contient une part de communication. Des informations secondaires évoquent des détails qui auraient fuité avant la publication du correctif, mais les éléments disponibles ne précisent ni leur nature ni leur date. L'épisode montre aussi que des modèles d'IA concurrents, d'OpenAI et de Google, peuvent trouver les mêmes vulnérabilités critiques, ce qui accroît la pression sur les délais de correction.
Cette affaire s'inscrit dans la stratégie cyber d'OpenAI. Il y a près de deux mois, l'entreprise a lancé Daybreak for Frontline Defenders, une subvention d'un milliard de dollars pour donner accès à ses modèles et produits de cybersécurité, et ce financement a trouvé un usage presque immédiat. Les auteurs de la newsletter AINews estiment qu'il faut s'attendre à au moins un an de découvertes critiques de ce genre, mais jugent absurde d'en blâmer ceux qui les trouvent. Pour eux, les logiciels critiques subissent le plus grand audit de sécurité de l'histoire, et la réponse coordonnée de l'écosystème PHP, entre mainteneurs, fournisseurs d'infrastructure et agences publiques, correspond à ce que la communauté peut faire de mieux. Reste à savoir à quelle vitesse les attaquants exploiteront les premiers jours après la publication du correctif, et si ce modèle de coordination tiendra face à la multiplication des découvertes assistées par IA.
Les sites français et européens sous PHP, WordPress, Drupal ou Joomla sont exposés et doivent appliquer rapidement le correctif du moteur PHP.