// CLUBIC — INTELLIGENZA ARTIFICIALE
Ces failles critiques de PHP dormaient depuis des années : l'IA a permis de les exploiter
Certaines vulnérabilités de PHP se cachaient dans le moteur du langage depuis plus de dix ans. La cause de l'une d'elles avait même été identifiée dès 2024, sans être corrigée. Des chercheurs épaulés par l'intelligence artificielle ont finalement réussi à démontrer toute l'étendue du danger.
Les deux failles critiques de PHP corrigées ce mercredi 21 octobre ont mobilisé de nombreux acteurs de la cybersécurité. Notées 9,2/10, elles peuvent permettre à un attaquant d'exécuter du code à distance sur certains serveurs, sans authentification préalable.Mais derrière cette alerte se cache une histoire révélatrice : des faiblesses anciennes, un problème de sécurité resté sans solution pendant deux ans et des recherches assistées par IA qui ont changé la donne.
L'origine du problème remonte à certaines décisions techniques prises il y a plus de dix ans dans le fonctionnement de PHP. Selon Wiz, toutes les versions depuis PHP 5.4 sont concernées par au moins l'une des vulnérabilités, aujourd'hui référencées CVE-2026-109618 et CVE-2026-109619.La première repose notamment sur un problème de gestion de la mémoire. Lorsqu'une requête atteint la limite autorisée, PHP peut interrompre certaines opérations en laissant des données internes partiellement initialisées. Dans certaines circonstances, leur réutilisation peut entraîner une corruption de mémoire, exploitable par un attaquant.
Plus troublant, la PHP Foundation reconnaît que cette cause profonde avait déjà été repérée en 2024. Un développeur du cœur de PHP l'avait identifiée en corrigeant un problème signalé lors d'un audit mené par Quarkslab.
À l'époque, personne n'était parvenu à démontrer concrètement son exploitation. Plusieurs correctifs avaient été envisagés, mais ils risquaient d'affecter la compatibilité ou le fonctionnement du langage. Les discussions ont fini par s'enliser.La fondation reconnaît aujourd'hui un véritable « échec structurel », lié à son processus de décision et au manque de ressources humaines.
Le tournant intervient en août 2026. Dans le cadre du programme Patch the Planet d'OpenAI, les chercheurs de Calif utilisent notamment GPT-5.6 Sol pour examiner PHP. Le 11 août, ils signalent une possibilité d'exécution de code à distance reposant sur la même cause que le problème découvert en 2024. OpenAI parvient indépendamment à identifier cette faiblesse le même jour.Quelques jours plus tard, Wiz mène ses propres recherches avec Gemini 4 Argon, GPT-5.6 Sol et sa plateforme Wiz Atlas. Ses équipes démontrent notamment des attaques sans authentification contre des installations WordPress et Drupal.
L'IA n'a pas simplement repéré du code suspect. Elle a aidé les chercheurs à relier différentes faiblesses et à construire des scénarios d'exploitation particulièrement complexes. Selon Wiz, un seul chercheur aurait accompli en une semaine un travail qui aurait auparavant mobilisé une équipe de spécialistes pendant plusieurs mois.Le risque varie néanmoins selon les configurations. L'exploitation a été démontrée avec les paramètres par défaut d'Apache utilisant mod_php. Avec PHP-FPM, d'autres chemins d'attaque passant par le code applicatif ont également été identifiés.
L'affaire connaît un dernier rebondissement cette semaine. Mardi, les identifiants des failles commencent à circuler avant leur divulgation officielle. Calif publie également par erreur une vidéo de démonstration, favorisant l'apparition de preuves de concept. La sortie des correctifs, initialement prévue jeudi, est avancée de 24 heures.Les versions corrigées, PHP 8.2.35, 8.3.36, 8.4.27 et 8.5.12, sont désormais disponibles. Leur déploiement reste indispensable pour sécuriser les installations concernées.Cette affaire révèle aussi les limites d'une cybersécurité dopée à l'IA. Les outils peuvent désormais découvrir et rendre exploitables des failles beaucoup plus rapidement. Mais comme le souligne la PHP Foundation, concevoir des correctifs fiables exige toujours des ingénieurs maîtrisant les mécanismes les