PHP corrige deux vulnérabilités critiques d’exécution de code à distance découvertes grâce à des modèles d’IA de pointe

Le projet PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre 2026. Ces versions de sécurité corrigent deux vulnérabilités critiques susceptibles de permettre l’exécution de code à distance sans authentification et découvertes grâce à des modèles d’IA de pointe. La divulgation coordonnée a mobilisé le projet PHP, OpenAI, la société de recherche en sécurité Calif et l’entreprise de sécurité infonuagique Wiz.

Les versions corrigées

L’avis de sécurité du projet PHP indique que les quatre versions corrigent CVE-2026-109618, une vulnérabilité décrite comme permettant l’exécution de code à distance par corruption due à un manque de mémoire, et CVE-2026-109619, décrite comme permettant l’exécution de code à distance par l’intermédiaire d’un état global obsolète. Dans un avis préalable publié le 20 octobre 2026, l’équipe de sécurité de PHP a attribué aux deux vulnérabilités une note CVSS v4.0 de 9,2 et fixé la publication au 21 octobre à 14:00 UTC.

Selon l’avis, toutes les installations PHP qui traitent des requêtes Web sont exposées, notamment PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé le plus élevé avec mod_php, où une requête sans authentification peut déclencher un exploit démontré avant l’exécution de tout code applicatif.

Le projet indique qu’il n’existe aucune mesure d’atténuation complète et que la mise à jour est la seule option sûre, tout en répertoriant des réglages provisoires qui réduisent l’exposition à des vecteurs d’attaque précis. Les distributions Linux et les fournisseurs de versions LTS ont reçu les correctifs à l’avance. L’équipe de sécurité de PHP a également fourni des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1, qui ne reçoivent plus de mises à jour, et a précisé que PHP 8.2 arrivera en fin de vie le 31 décembre 2026.

Les vulnérabilités et l’exploit php2shell

La publication technique de Wiz Research décrit CVE-2026-109618 comme couvrant une utilisation après libération dans le désérialiseur de progression des téléversements et la divulgation de la mémoire d’un processus distant, et CVE-2026-109619 comme couvrant une utilisation après libération dans la trace d’appel d’une erreur fatale et une confusion de types dans OPcache. Ces problèmes relèvent tous de la sécurité de la mémoire et découlent de la façon dont PHP gère les erreurs fatales, notamment celles dues à un manque de mémoire, pendant le traitement des requêtes.

Wiz a indiqué que toutes les versions de PHP publiées au cours de la dernière décennie sont touchées par au moins une des vulnérabilités, jusqu’à la version 5.4 incluse. Calif a rapporté que le plus ancien chemin vulnérable qu’elle a trouvé remonte à PHP 5.4.0 et que les voies d’exploitation, qui varient selon la version de PHP et le SAPI, sont toujours exploitables avec les configurations par défaut.

Wiz a regroupé les vulnérabilités dans un script d’exploitation unique appelé php2shell et a démontré une exécution de code à distance sans authentification sur les images de conteneurs les plus récentes de WordPress, Drupal et Joomla. Elle a également démontré la divulgation, indépendamment de l’application, de la mémoire des processus de travail PHP, qui peut contenir des mots de passe, des jetons d’authentification, des clés d’API et des certificats. Le compte rendu de Calif fait état d’exécutions de code à distance confirmées avant authentification sur WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 et WHMCS, ainsi que sur des scripts PHP arbitraires dans certains cas.

Wiz indique que PHP alimente 70 % de l’ensemble des sites Web, notamment ceux de WordPress, Joomla, Drupal et Wikipedia, qui utilise MediaWiki, et classe ces découvertes parmi les vulnérabilités les plus graves jamais découvertes dans PHP.

Comment les modèles d’IA de pointe ont découvert les failles

OpenAI a indiqué qu’au cours des deux derniers mois, elle avait dirigé une coalition de responsables de la maintenance, de chercheurs et de fournisseurs de solutions de sécurité afin de corriger les vulnérabilités. Calif a identifié une faille critique à l’aide de son modèle GPT-5.6 Sol dans le cadre de l’initiative Patch the Planet d’OpenAI, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités. Les responsables de la maintenance de PHP ont dirigé les travaux de correction et la publication des nouvelles versions.

Les chronologies des participants montrent que leurs découvertes indépendantes se sont chevauchées. La PHP Foundation indique que Calif a commencé son audit le 30 juillet 2026 et que le chercheur de Calif Ryan A a signalé une exécution de code à distance inconditionnelle le 11 août 2026, OpenAI ayant signalé indépendamment la même cause fondamentale le même jour. Selon le récit de Calif, la découverte remonte au 1er août 2026 ; une preuve de concept d’exécution de code à distance a été communiquée à PHP le 14 août 2026, PHP a confirmé la faille le 15 août 2026 et un deuxième bogue a été signalé le 21 août 2026.

Wiz indique avoir découvert la première vulnérabilité le 19 août 2026 à l’aide de Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol, puis avoir confirmé l’exécution de code sans authentification sur Drupal le 20 août 2026 et sur WordPress le 21 août, avant de signaler les vulnérabilités à l’équipe de sécurité de PHP le 24 août 2026. D’après la PHP Foundation, OpenAI a ajouté d’autres vecteurs d’attaque le 18 septembre 2026 ; selon Wiz, PHP a accusé réception des signalements et commencé à élaborer un correctif coordonné le 21 septembre 2026.

La faiblesse sous-jacente a une longue histoire. Calif rapporte que Stefan Esser a découvert la première vulnérabilité PHP exploitable à distance liée à la limite de mémoire en 2004, qu’un bogue décrivant une situation de manque de mémoire a été signalé au projet en 2020 et qu’un audit mené en 2024 par OSTIF et Quarkslab a mis de nouveau le problème en évidence sans démontrer qu’il était exploitable. La PHP Foundation a écrit que l’audit de 2024 avait été financé par la Sovereign Tech Agency et que les travaux de correction s’étaient enlisés, puis avaient repris à plusieurs reprises au fil des mois : « Nous ne prétendrons pas le contraire : ce retard était dû à une défaillance structurelle. »

OpenAI a déclaré qu’au vu de la gravité des failles et de la large diffusion de PHP, elle considère qu’il s’agit de l’un des problèmes de sécurité les plus lourds de conséquences de mémoire. L’entreprise a ajouté qu’à sa connaissance, l’IA de pointe avait découvert les vulnérabilités avant les attaquants, ouvrant ainsi ce qu’elle appelle une « fenêtre d’action pour les défenseurs ». Elle s’est engagée à fournir pour 1 milliard de dollars d’accès subventionné à Daybreak aux défenseurs de première ligne et a publié un vérificateur de version PHP sous forme de compétence Codex dans le dépôt GitHub openai/php2shell-checker.

Une divulgation prématurée et un embargo rompu

La PHP Foundation rapporte que la divulgation coordonnée a tenu jusqu’à deux jours avant la date de publication prévue. Vers 15 h 00 UTC le 20 octobre 2026, les deux identifiants CVE ont commencé à circuler sur des forums en ligne et les réseaux sociaux, accompagnés d’une heure de publication erronée et d’un score CVSS erroné de 10,0, même si aucun détail technique n’a fuité. Le projet PHP a avancé son annonce préliminaire à 19 h 30 UTC le même jour et déplacé la publication du 22 octobre 2026 au 21 octobre 2026 à 14 h 00 UTC, précisant que les distributeurs étaient encore en train d’intégrer le correctif à leurs paquets.

Vers 20 h 00 UTC le 20 octobre, Calif a publié par erreur une vidéo montrant sa preuve de concept en action sur plusieurs cibles. Des copies ont circulé et contribué à accélérer le développement de différentes preuves de concept d’exploits le 21 octobre, selon la Foundation. À 7 h 41 UTC le 21 octobre, plus de six heures avant la publication coordonnée, Chainguard a unilatéralement rompu l’embargo et publié des images compilées contenant le correctif, rapporte la Foundation. L’équipe de sécurité de PHP a surveillé les preuves de concept apparues après la fuite, mais n’a détecté aucun exploit fonctionnel au moment de la publication de la version et de la divulgation publique.

Coordination gouvernementale et cadre proposé

OpenAI a déclaré avoir travaillé avec des partenaires pour mobiliser plusieurs composantes du gouvernement américain, notamment la Force de superintelligence de la Maison-Blanche, le Bureau du directeur national de la cybersécurité et l’Agence pour la cybersécurité et la sécurité des infrastructures, ainsi que des partenaires internationaux, afin que les recommandations de sécurité parviennent aux organisations essentielles. Wiz a indiqué qu’avant la divulgation publique, l’entreprise s’était associée à Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel et d’autres acteurs pour préparer des recommandations destinées aux clients, des mécanismes de détection et des mesures d’atténuation prêtes à l’emploi pour les organisations qui ne peuvent pas effectuer immédiatement la mise à jour.

OpenAI a également publié un cadre proposé en cinq étapes pour répondre aux vulnérabilités critiques dans les logiciels largement utilisés : valider la vulnérabilité dans le code source en amont et la corriger, laisser aux organisations concernées le temps d’agir, se coordonner avec les partenaires gouvernementaux, préparer les mises à jour de tous les produits concernés, puis publier des recommandations dès qu’un correctif est disponible. L’entreprise a sollicité les commentaires de la communauté de la sécurité sur cette démarche.

La PHP Foundation, qui a créé une équipe de sécurité de l’écosystème en mai 2026 et recruté Alexandre Daubois en juillet 2026 et Daniel Scherzer en septembre 2026, a déclaré que l’équipe avait publié 15 CVE depuis le 1er juillet 2026, tout en traitant plus de 100 signalements qui se sont révélés invalides, en doublon ou impossibles à reproduire. Elle a appelé les entreprises, les hébergeurs, les plateformes cloud, les distributions et les gouvernements dont les services fonctionnent sous PHP à la parrainer.