Deux vulnérabilités critiques ont été découvertes dans PHP, un langage côté serveur largement utilisé pour les applications web. OpenAI et l’équipe de Wiz ont indiqué que des outils d’intelligence artificielle avaient contribué à identifier ces failles avant qu’elles ne soient signalées comme exploitées dans la nature. La PHP Foundation a publié des correctifs le 21 octobre 2026, avant la divulgation publique détaillée.
L’Agence nationale de sécurité des États-Unis, la NSA, a ensuite émis une alerte jugée préoccupante. Elle recommande aux administrateurs de corriger immédiatement les serveurs PHP concernés. Lorsqu’une mise à jour rapide n’est pas possible, son conseil est de retirer le site du web jusqu’à ce que la protection soit assurée.
Deux failles anciennes dans un composant très répandu
Selon les informations publiées dans la source, les vulnérabilités permettent à un attaquant de pénétrer dans le système de fichiers d’un serveur ou dans une base de données utilisée par une application web. Leur portée exacte dépend donc notamment de l’environnement dans lequel PHP est déployé, mais le risque présenté est suffisamment important pour justifier une réaction immédiate.
Ces failles étaient présentes dans toutes les versions de PHP depuis PHP 5, lancée en 2004. Les versions PHP 8.1 et antérieures ne sont plus prises en charge, d’après la source. La recommandation communiquée aux exploitants est de mettre à jour le serveur vers la version actuelle indiquée, PHP 8.5.12.
PHP est présenté comme une technologie utilisée par environ 70 % des sites internet. Ce chiffre est attribué à W3Techs dans la source. Une autre estimation citée évoque plus de 33 millions de sites, sans que le texte ne précise une méthode commune entre ces deux évaluations. WordPress utilise PHP, mais WordPress a précisé que la faille n’était pas spécifique à son système de gestion de contenu. Les sites concernés doivent donc sécuriser leurs serveurs et vérifier la situation avec leur hébergeur.
L’intelligence artificielle au cœur de la découverte
La société de tests de sécurité Calif participait à l’initiative « Patch the Planet » d’OpenAI, destinée à rechercher des failles dans des logiciels open source. Elle a identifié l’une des vulnérabilités à l’aide de GPT-5.6 Sol, selon une publication d’OpenAI mentionnée dans la source.
De son côté, l’équipe de Wiz a déclaré avoir utilisé plusieurs systèmes d’intelligence artificielle pour trouver plusieurs vulnérabilités dans PHP. Les outils cités sont son agent de sécurité Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol. Le texte source ne précise pas quelle faille précise a été identifiée par chacun de ces outils.
OpenAI et Wiz ont suivi une procédure de divulgation responsable. Les chercheurs ont travaillé avec la PHP Foundation sur les correctifs avant leur publication. Les différentes équipes ont ensuite approfondi leurs constatations et testé les mises à jour. Wiz a remercié Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft et Vercel pour leur contribution au travail de coordination.
Un risque amplifié après la divulgation
OpenAI affirme que les chercheurs ont découvert les failles avant des hackers et qu’aucun exploit utilisé dans la nature n’a été signalé. La source attribue aussi à Wiz l’analyse selon laquelle ces vulnérabilités étaient auparavant trop difficiles à exploiter pour certains attaquants.
Cette situation pourrait changer avec les outils d’IA. Wiz avertit que des modèles de langage peuvent aider à adapter un exploit à différentes versions de PHP, configurations et organisations de la mémoire. Il s’agit d’une déclaration de Wiz, et non d’un constat rapportant une campagne d’attaque en cours dans la source.
Le même mécanisme produit donc un double effet : l’IA a contribué à repérer et à corriger des failles anciennes, mais elle pourrait aussi réduire la difficulté de leur exploitation après leur divulgation. La source décrit désormais une course entre les administrateurs et d’éventuels attaquants pour mettre à jour les sites encore exposés.
Les conséquences pour les exploitants
- Les responsables de serveurs PHP doivent vérifier la version utilisée et appliquer le correctif recommandé.
- Les installations reposant sur PHP 8.1 ou une version antérieure nécessitent un travail de mise à niveau, ces versions n’étant plus prises en charge.
- Les exploitants de sites WordPress doivent contrôler leur serveur PHP et contacter leur hébergeur, car le problème n’est pas présenté comme propre à WordPress.
- En l’absence de correction immédiate, la NSA recommande de retirer le site du web jusqu’à sa sécurisation.
La conséquence concrète ne concerne donc pas seulement les éditeurs de PHP : elle s’étend aux hébergeurs, aux administrateurs et aux organisations qui dépendent d’applications web anciennes. La découverte coordonnée limite le risque de divulgation prématurée, mais la publication des détails rend désormais l’application rapide des correctifs déterminante.
Source : PHP Armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
