OpenAI Identifie des Vulnérabilités Critiques dans PHP, Appelle à des Mises à Jour Immédiates pour les Opérateurs Web

Le 21 octobre 2026, OpenAI a annoncé la découverte de deux vulnérabilités critiques dans le moteur PHP, suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619. Ces failles, qui ont reçu un score CVSS de 9.2, pourraient permettre à des attaquants d'exécuter du code à distance sur des serveurs sans aucune authentification.

Les vulnérabilités proviennent de problèmes de sécurité mémoire dans PHP, affectant des versions aussi anciennes que 5.4.0. Cela signifie qu'un nombre significatif de sites web, estimé à 70 %, pourrait être à risque, y compris des plateformes populaires comme WordPress et Drupal. Ces failles permettent un accès non autorisé à des données sensibles et la possibilité d'exécuter des commandes malveillantes.

OpenAI a collaboré avec des chercheurs de Calif et Wiz pour identifier ces vulnérabilités, qui ont été vérifiées de manière indépendante sur WordPress et Drupal en août 2026. Les résultats faisaient partie de l'initiative Patch the Planet d'OpenAI, visant à utiliser l'IA pour identifier les failles de sécurité avant qu'elles ne puissent être exploitées.

En réponse aux vulnérabilités, les mainteneurs de PHP ont publié des correctifs pour les versions 8.2.35, 8.3.36, 8.4.27 et 8.5.12. Parallèlement à cette divulgation, OpenAI a introduit un outil appelé php2shell-checker, permettant aux opérateurs de sites d'évaluer leur vulnérabilité sans envoyer de trafic d'exploitation.

Les opérateurs de sites web sont fortement conseillés de vérifier leurs versions de PHP et de passer aux versions corrigées pour éviter d'éventuels incidents de sécurité qui pourraient compromettre la confiance des utilisateurs et entraîner des pertes financières significatives.

Nouveaux faits sur les vulnérabilités PHP

Le 21 octobre, PHP a publié des correctifs d'urgence pour deux vulnérabilités critiques, identifiées comme CVE-2026-109618 et CVE-2026-109619. Ces vulnérabilités permettent à des attaquants non authentifiés d'exécuter du code sur des serveurs web.

Le conseil de sécurité de l'équipe PHP a souligné l'urgence de ces mises à jour, suite à un avertissement anticipé émis le 20 octobre. Les deux vulnérabilités ont reçu un score de gravité critique de CVSS v4.0, incitant les responsables de la sécurité cryptographique à exhorter les opérateurs web à corriger leurs systèmes et à examiner toute infrastructure négligée.

Nouveaux faits sur les vulnérabilités PHP

• Un bogue critique de PHP, PHP2Shell, permet à des attaquants non authentifiés d'exécuter du code à distance sur des serveurs web.
• Cette vulnérabilité affecte environ 70 % des sites web dans le monde.
• Des correctifs d'urgence ont été publiés pour les versions PHP 8.2 et supérieures, mais plus d'un tiers des sites PHP restent non corrigés.
• Plus de 800 000 hôtes Internet utilisent des versions PHP obsolètes qui ne recevront aucun correctif.
• Les vulnérabilités sont identifiées comme CVE-2026-109618 et CVE-2026-109619.
• Cloudflare a mis en œuvre des mesures d'urgence et a annoncé des correctifs supplémentaires en réponse aux vulnérabilités.
• Des pays comme la Finlande et les Pays-Bas ont mis hors ligne des sites gouvernementaux par précaution contre d'éventuelles exploitations.
• Les versions PHP corrigées incluent 8.5.12, 8.4.27, 8.3.36 et 8.2.35, mais 27 % des sites PHP fonctionnent encore sur PHP 7 et 7,7 % sur PHP 5, qui ne sont pas corrigés.