Deux failles PHP découvertes par IA exposent une grande partie du Web

Deux failles critiques dans PHP, le langage qui fait tourner une large part des sites web, ont été découvertes grâce à l’intelligence artificielle puis déjà exploitées par des pirates avant leur divulgation publique. Publiées sous les références CVE-2026-109618 et CVE-2026-109619, elles permettent à un attaquant non authentifié d’exécuter du code arbitraire sur un serveur. Le problème est immédiat pour les administrateurs, mais aussi durable pour les sites qui ne pourront pas migrer vite.

PHP au cœur du problème, pas à la marge

Les chercheurs d’OpenAI, de Wiz et de Calif ont utilisé GPT-5.6 Sol pour analyser le code de PHP, un langage très répandu côté serveur. Leur découverte touche le cœur du fonctionnement du moteur : selon la PHP Foundation, la centralité de ces composants rend la correction délicate, car il faut éviter de casser la compatibilité, les performances et l’écosystème d’extensions. Résultat, la faille ne vise pas un module périphérique, mais un étage qui concerne quasiment toutes les requêtes.

Le scénario est classique et pénible à la fois : une vulnérabilité devient publique, puis les attaquants cherchent très vite à l’exploiter pendant que les équipes techniques appliquent les mises à jour. Ici, la fenêtre a déjà commencé à se refermer avant même l’annonce. Amazon aurait observé des attaques dès le 17 octobre, soit avant la publication du 21 octobre. Les pirates, eux, peuvent ensuite disséquer les correctifs pour bâtir de nouveaux outils. Le calendrier est un peu cruel, mais il a le mérite d’être très clair.

Des correctifs existent, mais pas pour tout le monde

Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, selon la branche utilisée. PHP.net a aussi publié du code de rétroportage pour PHP 7.4, 8.0 et 8.1, ce qui montre l’ampleur du problème pour les installations anciennes. Les failles seraient présentes depuis au moins PHP 5.4 [à vérifier], et beaucoup de sites continuent d’exécuter des versions vieillissantes, parfois parce qu’un script tiers ancien bloque la migration.

Cette inertie technique pèse lourd. De nombreux sites dépendent d’hébergeurs, n’ont pas la main sur le serveur ou ne disposent plus des compétences pour auditer leurs scripts. D’autres utilisent des CMS comme WordPress, Drupal ou Joomla, ainsi que Roundcube, Nextcloud et phpMyAdmin, tous susceptibles d’hériter de ce risque si l’infrastructure sous-jacente n’est pas mise à jour. Selon le texte source, environ 70 % du Web serait potentiellement concerné [à vérifier], ce qui donne une idée du rayon d’action, sans permettre de réduire l’alerte à un simple correctif de routine.

Quand la mise à jour devient une course contre l’usage

Le vrai sujet n’est pas seulement la vulnérabilité, mais la vitesse réelle de déploiement. Une partie des sites pourra être corrigée rapidement ; une autre restera exposée des semaines, des mois, voire des années si les mises à jour cassent des dépendances critiques ou si l’administrateur n’a tout simplement plus accès au serveur. Dans ce contexte, l’IA n’a pas seulement aidé à trouver la faille : elle accélère aussi le cycle attaque-correction-contre-attaque.

Pour les organisations, le message est simple : vérifier la version de PHP, appliquer les correctifs disponibles et documenter les systèmes encore en fin de vie. Pour le reste du Web, l’épisode rappelle que les vieux logiciels aiment les mauvaises surprises. Et ils les gardent longtemps.