OpenAI Identifie des Vulnérabilités Critiques dans PHP, Appelle à des Mises à Jour Immédiates pour les Opérateurs Web

Le 21 octobre 2026, OpenAI a annoncé la découverte de deux vulnérabilités critiques dans le moteur PHP, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619. Ces failles, qui ont reçu un score CVSS de 9.2, pourraient permettre à des attaquants d'exécuter du code à distance sur des serveurs sans aucune authentification.

Les vulnérabilités proviennent de problèmes de sécurité mémoire dans PHP, affectant des versions aussi anciennes que 5.4.0. Cela signifie qu'un nombre significatif de sites web, estimé à 70 %, pourrait être à risque, y compris des plateformes populaires comme WordPress et Drupal. Ces failles permettent un accès non autorisé à des données sensibles et la possibilité d'exécuter des commandes malveillantes.

OpenAI a collaboré avec des chercheurs de Calif et Wiz pour identifier ces vulnérabilités, qui ont été vérifiées de manière indépendante sur WordPress et Drupal en août 2026. Les résultats faisaient partie de l'initiative Patch the Planet d'OpenAI, visant à utiliser l'IA pour identifier les failles de sécurité avant qu'elles ne puissent être exploitées.

En réponse aux vulnérabilités, les mainteneurs de PHP ont publié des correctifs pour les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Parallèlement à cette divulgation, OpenAI a introduit un outil appelé php2shell-checker, permettant aux opérateurs de sites d'évaluer leur vulnérabilité sans envoyer de trafic d'exploitation.

Les opérateurs de sites web sont fortement conseillés de vérifier leurs versions de PHP et de passer aux versions corrigées pour éviter d'éventuels incidents de sécurité qui pourraient compromettre la confiance des utilisateurs et entraîner des pertes financières significatives.